חשד של גישה מרחוק לא מוכרת ב-Windows יכול להופיע בעקבות חלון שקפץ, שינוי בהגדרות, משתמש חדש או פעילות חריגה במחשב. עם זאת, סימן בודד אינו מוכיח שמישהו השתלט על המחשב: לעיתים מדובר בתוכנת תמיכה שהותקנה בעבר, בחשבון של בן משפחה או בהגדרה שנשארה פעילה לאחר שימוש לגיטימי.
המטרה באבחון היא לא רק לכבות אפשרות אחת, אלא להבין מה הופעל, מי יכול להתחבר, האם קיימים אירועי התחברות ומה מצב ההגנה. חשוב לבצע את הבדיקות לפי סדר, לתעד צילומי מסך ושמות חשודים, ולהימנע ממחיקה או איפוס לפני שמבינים מה קרה.
לפני שמתחילים: לא למחוק ראיות ולא לנתק בלי תכנון
אם המחשב עדיין מגיב ויש חשש ממשי שמישהו מחובר אליו, נתקו אותו מהרשת באמצעות כיבוי Wi‑Fi או ניתוק כבל הרשת. במחשב עסקי כדאי לערב את מנהל ה-IT לפני שינוי הגדרות, משום שניתוק או מחיקה עלולים להקשות על בדיקה מסודרת. אם קיימים מסמכים חשובים, אל תבצעו איפוס Windows ואל תתקינו תוכנות ניקוי אקראיות.
- צלמו את ההתראה, את שם המשתמש ואת השעה שבה הבחנתם בפעילות.
- רשמו אילו תוכנות פתוחות ואילו שינויים נראו במחשב.
- אל תמחקו משתמשים, שירותים או יומני אירועים לפני תיעוד.
- אם יש חשד לגניבת סיסמה, שינוי סיסמאות צריך להתבצע ממכשיר נקי אחר, במיוחד עבור דואר אלקטרוני וחשבון Microsoft.
חשבון Microsoft שנפרץ אינו זהה בהכרח לשליטה מרחוק במחשב. אם יש גם התראות על כניסות לא מוכרות לחשבון, כדאי לעבור על המדריך לבדיקת פעילות חשודה בחשבון Microsoft.
גישה מרחוק לא מוכרת ב-Windows: בדיקת Remote Desktop
ב-Windows ניתן לבדוק אם Remote Desktop, המכונה גם RDP, מופעל. פתחו את הגדרות > מערכת > שולחן עבודה מרוחק. אם האפשרות פעילה ואינכם משתמשים בה, שקלו לכבות אותה. בחלק מגרסאות Windows האפשרות אינה זמינה במהדורה הביתית, ולכן חשוב לבדוק גם תוכנות גישה מרחוק אחרות.
באותו אזור ניתן לראות אילו משתמשים מורשים להתחבר. חפשו חשבונות שאינכם מזהים, אך אל תסירו משתמש מערכת או משתמש ארגוני בלי להבין את תפקידו. במחשב שמחובר לארגון או לדומיין, הרשאות עשויות להגיע ממדיניות מרכזית ולא מהגדרה מקומית בלבד.
בדיקה נוספת מתבצעת דרך לוח הבקרה > מערכת ואבטחה > מערכת > הגדרות מרחוק, בהתאם לגרסת Windows. ודאו שמופעלת דרישת אימות ברמת הרשת כאשר האפשרות קיימת. אל תאפשרו חיבורי RDP ישירות מהאינטרנט באמצעות פתיחת פורטים בנתב, אלא אם יש צורך עסקי ברור ותכנון אבטחה מתאים.
בדיקת משתמשים מקומיים וחיבורים פעילים
לחצו לחיצה ימנית על כפתור התחל ובחרו ניהול מחשב. תחת משתמשים וקבוצות מקומיים > משתמשים ניתן לראות חשבונות מקומיים. בדקו אם נוסף משתמש שאינכם מכירים, אם חשבון קיים קיבל הרשאות מנהל, ואם חשבון שהיה מושבת הופעל מחדש.
לא כל חשבון בעל שם לא מוכר הוא בהכרח זדוני. Windows יוצר חשבונות ושירותים פנימיים, ותוכנות לגיטימיות עשויות להוסיף משתמש שירות. לפני שינוי, תעדו את שם החשבון, הקבוצות שאליהן הוא שייך ותאריך השינוי אם הוא מוצג.
כדי לראות חיבורים פעילים אפשר לפתוח את מנהל המשימות ולבדוק משתמשים ותהליכים. משתמשים מתקדמים יכולים לפתוח את PowerShell כמנהל ולהריץ פקודות תצוגה כמו query user או net session. אם אינכם בטוחים בפירוש התוצאה, אל תמחקו תהליכים אקראיים: פעולה כזו עלולה לגרום לאובדן עבודה או להסתיר מידע חשוב.
יומני אירועים: איך לחפש ניסיון התחברות
פתחו את מציג האירועים דרך חיפוש Windows ובחרו יומני Windows > אבטחה. חפשו אירועי כניסה ויציאה, במיוחד סביב השעות שבהן זוהתה הפעילות. באירועי אבטחה נפוצים ניתן למצוא מידע על משתמש, סוג התחברות, מחשב מקור ולעיתים כתובת רשת.
- אירועי כניסה מוצלחת אינם מוכיחים לבדם השתלטות; ייתכן שזו התחברות רגילה של המשתמש.
- ריבוי ניסיונות כושלים יכול להצביע על סיסמה שגויה, תוכנה או ניסיון גישה.
- בדקו את השעה, שם החשבון וסוג ההתחברות, ולא רק את מספר האירוע.
- השוו את המידע לזמן שבו הייתם ליד המחשב או השתמשתם בשירות תמיכה.
יומנים יכולים להימחק, להצטמצם או להישמר תחת מדיניות ארגונית שונה. לכן היעדר אירוע מתאים אינו הוכחה שלא הייתה גישה. אם מדובר במחשב עם מידע רגיש או עסקי, שמרו עותק של המידע הרלוונטי ופנו לאיש מקצוע לפני ניקוי.
בדיקת תוכנות גישה מרחוק, שירותים וחומת האש
עברו על הגדרות > אפליקציות > אפליקציות מותקנות וחפשו תוכנות כמו כלי תמיכה מרחוק, שליטה מרחוק או שיתוף מסך שאינכם מזהים. בדקו גם את מנהל המשימות ואת הכרטיסייה של תוכניות האתחול. שם התוכנה לבדו אינו מספיק כדי לקבוע אם היא מסוכנת, לכן כדאי לבדוק את היצרן, מיקום הקובץ ותאריך ההתקנה.
בחלון שירותים אפשר לבדוק שירותים שרצים ברקע. שינוי מצב שירות בלי להבין את תפקידו עלול להשבית הדפסה, עדכונים או רכיבי Windows. עדיף לתעד את השירות ולבקש בדיקה מקצועית אם קיימת אי-ודאות.
פתחו את חומת האש של Microsoft Defender עם אבטחה מתקדמת ובדקו כללי כניסה פעילים, במיוחד כללים הקשורים ל-Remote Desktop או לתוכנות שליטה מרחוק. אין לבטל את חומת האש כבדיקה. אם כלל נראה חשוד, תעדו אותו ובדקו את התוכנה או את הנתיב שאליו הוא מפנה.
מה לעשות לאחר האבחון
אם התברר ש-Remote Desktop אינו נחוץ, כבו אותו והסירו הרשאות מיותרות. הפעילו עדכוני Windows ותוכנות אבטחה, בצעו סריקה מלאה עם Windows Security, והחליפו סיסמאות ייחודיות ממכשיר נקי. הפעילו אימות רב-שלבי בחשבון Microsoft, בדואר האלקטרוני ובשירותים חשובים נוספים.
אם Windows Security אינו נפתח או שהתוכנה נחסמת, אל תעקפו את ההגנה באמצעות הורדת כלי אקראי. אפשר להיעזר במדריך לאבחון Windows Security שאינו נפתח ולבדוק את המערכת בצורה מבוקרת.
מתי צריך טכנאי מחשבים?
פנו לטכנאי כאשר מופיע משתמש מנהל שאינכם מזהים, קיימת תוכנת שליטה מרחוק שלא ניתן להסיר, יומני האירועים מצביעים על התחברויות בזמן שלא הייתם ליד המחשב, או שהגדרות האבטחה משתנות מחדש לאחר תיקון. גם במחשב עסקי, במחשב עם מידע רפואי או פיננסי, או במקרה של חשד לגניבת נתונים, עדיף לא לבצע ניקוי עצמאי.
טכנאי יכול לתעד את המצב, לבדוק שירותים, משימות מתוזמנות, הרשאות, חומת אש ויומני מערכת, ולהמליץ אם נדרש ניקוי, שינוי סיסמאות או התקנה מחדש. אם המחשב כבר אינו אמין, אל תחברו אליו כונני גיבוי לפני בדיקה. במקרים מורכבים ניתן לפנות לשירות טכנאי מחשבים עד הבית או לתאם בדיקה מסודרת במעבדה.
אבחון זהיר עדיף על פעולה מהירה שמוחקת ראיות. תיעוד, ניתוק מבוקר מהרשת, בדיקת הרשאות וחיזוק הסיסמאות מאפשרים להבין אם מדובר בהגדרה לגיטימית, בתקלה או בגישה מרחוק לא מוכרת ב-Windows שדורשת טיפול מקצועי.
