Kontrollera om någon använder min dator

Upptäck hur du identifierar obehörig åtkomst till din dator genom att övervaka symptom, kontrollera användning och granska säkerhetsloggar. Följ våra steg för trygghet!

Ett av de mest irriterande problemen i familjen eller hemma är delningen av samma dator. En PC är personlig, var och en organiserar den som de vill, och vi hoppar inte av glädje om någon annan rör vid den, flyttar den eller rör om i filerna, kanske ändrar inställningar, raderar data eller blandar sig i våra affärer. Om vi misstänker att någon använder vår PC när vi inte är hemma, så kommer vi i denna guide visa hur man kontrollerar om någon har använt vår PC, vad de har tittat på och vad de har gjort.

LEDA OCKSÅ: Upptäck om vi blir spionerade på datorn

Signaler Synliga: Symptom på Aktivitet

Intrång, vare sig det är aktiv fjärrkontroll eller spionprogram som arbetar i bakgrunden, lämnar nästan alltid spår. Ibland är de uppenbara, andra gånger kräver de ett tränat öga. En plötslig nedgång i prestanda, ett system som fryser eller hänger sig utan uppenbar anledning, är ofta den första ledtråden: ett skadligt program, kanske en crypto miner eller en Remote Access Trojan (RAT), som helt enkelt använder värdefulla resurser. Det är en signal som aldrig bör underskattas.

Det är viktigt att vara uppmärksam på även:

• Oväntad aktivitet: Muspekaren som rör sig av sig själv, fönster som öppnas, program som startar utan kommando, eller så att webbkamera tänds med ljusindikatorn på vid olämpliga tillfällen. Detta är en indikator på aktiv fjärrkontroll.
• Ändringar i inställningar: Variationer i startsidan i webbläsaren, installation av oväntade verktygsfält eller, värre, framträdande av nya användarkonton på systemet som inte skapades av administratören. Obehörig åtkomst syftar ofta till att etablera en beständighet.
• Ökad nätverksaktivitet: En internetlinje som verkar mycket trafikerad även när datorn är till synes inaktiv tyder på att någon sänder eller tar emot data på distans, till exempel stjäl filer.

Spår av Fysisk Åtkomst och Modifierade Filer

Inte alla åtkomster är på distans. Om datorn är delad eller lämnad obevakad kan intrång ske lokalt. För att kontrollera om någon har använt datorn medan vi var borta, kan en snabb undersökning avslöja obehörig åtkomst. På Windows räcker det med att öppna Utforskaren och kontrollera avsnittet "Snabb Åtkomst" eller "Senaste". Här listas dokument, mappar och program som nyligen använts, även om de stängdes omedelbart efter användning.

För att se om någon har använt vår dator utan tillstånd är Everything, ett snabbt sökverktyg för filer och mappar som är perfekt för vårt syfte. När det har laddats ner och installerats på vår dator, starta appen och när den har laddats klart, klicka på kolumnen Senast ändrad för att sortera alla filer på datorn i kronologisk ordning (från den mest nyligen ändrade till den äldsta).

Genom att bläddra i listan får vi se varje enskild fil som ändrats eller skapats av Windows eller programmen (omöjliga att radera alla), inklusive filerna för webbläsarprofiler eller för att öppna ett visst program. Med tålamod och vilja kan vi återskapa användningen av vår PC från att den tändes till att den stängdes av, så vi exakt vet vad som gjordes i vår frånvaro.

På Mac, utför avsnittet "Senaste" i Finder samma funktion. Om dokument dyker upp som vi inte har rört, eller till och med systemprogram och dolda mappar öppnas nyligen, är det mycket troligt att någon har navigerat filsystemet. Denna metod, hur banal den än må vara, är ofta förbisedd av dem som spionerar eller nyfiket utforskar.

Analys av Operativsystem: Kontroll av Processer och Användare

Innan man tar till extern programvara erbjuder Windows och Mac mycket kraftfulla interna diagnostikverktyg för att inleda jakten på inkräktaren.

Hantering av Aktiviteter och Övervakning (Aktivitetshanterare/Monitor Aktivitet)

Först öppnar vi Aktivitetshanteraren på Windows (Ctrl+Shift+Esc) eller Aktivitetsövervakning på Mac (Program > Verktyg). Här får man en realtidsöversikt över alla.

Processer i utförande.

Fokusera på två grundläggande flikar i Windows Aktivitetshanteraren:

• Processer: Leta efter processer med onormal användning av CPU, Minne eller Nätverk. Om du ser ett konstigt programnamn eller ett som använder mycket resurser utan att ha startats, är det något som bör undersökas omedelbart.
• Användare: Detta är det mest uppenbara beviset. Kontrollera om det finns aktiva användarsessioner bortom din egen. I ett Windows-system visas en fjärranvändare ofta här som en separat session, såvida det inte är en mycket avancerad åtkomst.

I Mac Aktivitetshantering är det användbart att titta på sektionen Nätverk för att övervaka applikationer med hög datatrafik. Okända program som överför stora mängder data är ett tydligt varningssignal.

Verktyg för att Kontrollera Fjärråtkomstprogram

En angripare kommer sällan att använda den inbyggda RDP (Remote Desktop Protocol), som är högljudd och lämnar tydligare spår. Istället kommer de att föredra att hemligt installera fjärrkontrollprogram. Kontrollera i Installerade program (Kontrollpanel > Program eller Inställningar i Windows/Mac) om det finns namn som TeamViewer, AnyDesk, LogMeIn, VNC eller GoToMyPC som vi inte minns att vi installerat eller som vi inte använder regelbundet. Även om programvaran inte körs är obehörig installation ett alarmtecken.

Det största problemet med dessa program är att de, när de väl är installerade, om de är konfigurerade för obevakad åtkomst och med svaga lösenord, blir en permanent bakdörr, som är mycket farligare än en enkel temporär malware. Kontroll av applikationer är en viktig kontroll som bör göras regelbundet.

Inspektion av Åtkomstloggar (Händelselogg)

Operativsystem håller en detaljerad logg över varje åtkomst. Om någon har använt datorn fysiskt medan vi var borta, eller anslutit sig fjärr, finns informationen där, även om den är gömd bland hundratals händelser:

• På Windows: Öppna körfönstret (Win + R) och skriv eventvwr för att starta Windows händelselogg.

  Gå till Windows-loggar > Säkerhet. Du bör filtrera eller bläddra genom händelser för att leta efter Händelsekoder relaterade till inloggning (Logon) och utloggning (Logoff). Lyckade inloggningar vid tider då vi inte var vid datorn är mycket tydliga tecken på intrång.

  Eftersom posterna att leta efter i händelseloggen kan vara svåra att tolka för en nybörjare, kan vi hjälpa oss själva genom att installera WinLogOnView, ett gratisverktyg utvecklat av det välkända företaget Nirsoft, känt för sina otaliga användbara verktyg för varje situation. För att förstå vem som kom in i vår dator, klicka på kolumnen med namnet Inloggningstid, så att du kan visa inloggningarna i kronologisk ordning, från den senaste till den äldsta: genom att jämföra det med våra tider och användning är det inte svårt att förstå när datorn användes utan vårt tillstånd.

• På Mac: Applikationen Console (Program > Verktyg) ger tillgång till systemloggarna, där du kan söka efter poster relaterade till Remote Desktop eller okända SSH-åttkomster. Att söka efter datum och tid hjälper till att avgränsa det misstänkta tidsintervallet.

Avancerade Tricks: Kommandorad och Systemloggar

För en mer djupgående analys måste du smutsa ner händerna med verktyg på en högre nivå, ofta redan förinstallerade i systemet och som ger en mer detaljerad översikt.

Kontroll av Öppna Anslutningar med Netstat

Detta är den mest effektiva metoden för att identifiera en fjärranslutning i realtid. Kommandot Netstat visar alla inkommande och utgående anslutningar från datorn och de portar som lyssnar (Listening).

• På Windows: Öppna Kommandotolken (genom att skriva cmd i Startmenyn) och kör följande kommando:

  netstat -bano

  • -a: Visar alla anslutningar och...
  • Lyssnande portar:
  • -n: Visar adresser och portar i numeriskt format (snabbare).
  • -b: Visar namnet på det körbara programmet (*.exe*) som etablerat anslutningen.
  • -o: Visar PID (Process Identifier) för processen.
• För Mac/Linux: Öppna Terminalen och skriv:

  sudo lsof -i -P -n eller netstat -an | grep LISTEN

  Kommandot lsof är mer omfattande och visar processens namn (COMMAND) samt det associerade PID för anslutningen.

Om en anslutning med status ESTABLISHED visas mot en okänd IP-adress, eller en port i LISTENING som är kopplad till ett program som vi inte har startat, bör du notera PID och söka efter det i Aktivitetshanteraren för att identifiera det ansvariga körbara programmet och omedelbart avsluta det.

Verktyg Specialiserade för Svåra Fall

Ibland gömmer sig inträngaren genom att använda mycket mer listiga tekniker, såsom rootkit eller förklädda processer. I dessa fall är det nödvändigt att använda avancerad diagnostikprogramvara som gräver djupare i operativsystemet.

Avancerad Diagnostik med Sysinternals

Det kostnadsfria paketet **Sysinternals Suite** från Microsoft innehåller mjukvaruverktyg för rättsmedicinsk analys för Windows som går långt utöver Aktivitetshanteraren och anses vara en standard bland säkerhetsproffs:

• Process Explorer: Detta är ett superkraftigt alternativ till Aktivitetshanteraren. Det möjliggör att se hierarkin av processer, vem som startade dem och, viktigt, tydligt kontrollera nätverksanslutningar som öppnas av varje körbart program.
• TCPView: Som namnet antyder, är det en mer användarvänlig version av netstat. Det visar i ett bekvämt grafiskt gränssnitt alla aktiva TCP- och UDP-sockets (anslutningar), inklusive fjärradressen och status, vilket är användbart för att identifiera dold trafik utan att behöva använda kommandoraden.

Skanning för Keylogger och Spyware på Webbkameran

Keyloggers och verktyg för spionering på webbkameran tillhör den mest förrädiska kategorin av spyware och rootkit. Dessa program är specifikt designade för att inte bli upptäckta av vanliga antivirus, genom att gömma sig på kärnnivå eller maskera sina processer.

För deras upptäckte är det avgörande att använda verktyg som går längre än standard skanning:

• Malwarebytes Anti-Rootkit: Erbjuder en gratisversion som är speciellt utformad för att söka och ta bort de mest kända rootkits, och agerar på en djupare nivå än en standard antivirus skanning. Det är en viktig startpunkt för att upptäcka spår av keyloggers och övervakningsprogramvara.
• GMER: Ett mycket gammalt verktyg, huvudsakligen avsett för mer erfarna användare (endast Windows), som genomför en inspektion på kärnnivå för att upptäcka dolda hookar och osynliga processer. Spyprogram för webbkameran eller keyloggers manipulerar ofta kärnan för att dölja sig.

En annan motåtgärd, som jag alltid rekommenderar, är fysisk kontroll: användningen av ett litet webbkameraskydd (till exempel en bit matt tejp) förhindrar all form av visuell spionage, även om övervakningsprogramvaran skulle undkomma upptäckten.

Annat om Intrusioner

Obehörig åtkomst begränsar sig inte bara till detektering, utan väcker flera viktiga frågor om framtida säkerhet och påverkan av intrång. Låt oss gå igenom nyckelpunkterna för en heltäckande hantering av problemet:

• • Vad ska du göra omedelbart efter att ha upptäckt obehörig åtkomst? Den första åtgärden är att omedelbart koppla bort datorn från nätverket (ta bort Ethernet-kabeln eller stäng av Wi-Fi) för att avbryta den aktiva fjärrsessionen och förhindra stöld av ytterligare data. Isolering är den högsta prioriteten.
  • Kan inträngaren fortfarande få åtkomst till systemet efter avkopplingen? Det beror. Om åtkomsten skedde via en.

skadlig programvara med en bakdörr eller en rootkit (som startas vid varje uppstart), kan den obehörige återkomma vid nästa omstart och anslutning. Därför är det avgörande att använda en Rootkit-scanner och, i de allvarligaste fallen, formatera och göra en ren installation av operativsystemet.

• Vilka data har blivit komprometterade? Om en fjärranslutning har upptäckts, är det mycket troligt att lösenord, dokument och finansiell information har kopierats. Den högsta prioriteten är att byta alla lösenord från en säker enhet (som en smartphone eller en annan PC) och aktivera tvåfaktorsautentisering (MFA) överallt där det är möjligt.
• Hur förhindrar man framtida fjärråtkomst? De bästa försvaren är inte komplicerade och bygger på några få, men grundläggande, goda vanor:
  • Stäng av onödiga tjänster: Stäng av Fjärrskrivbord (RDP) om det inte är absolut nödvändigt.
  • Starka lösenord och MFA: Använd komplexa och icke-återanvända kombinationer, och aktivera alltid flerfaktorsautentisering för varje känsligt konto.
  • Kontrollera routern: Kontrollera i routerns adminpanel (vanligtvis genom att skriva 192.168.1.1 eller 192.168.0.1 i webbläsaren) om det finns port forwarding eller öppna VPN-tjänster som vi inte har konfigurerat och som kan vara en extern åtkomstpunkt.
  • Konstant uppdatering: Att hålla operativsystemet och alla program uppdaterade är grundläggande för att stänga de mest kända säkerhetshålen som angripare använder.

För att undvika problem i framtiden rekommenderas det att alltid ställa in ett inloggnings- och låskal för Windows, som sett i vår guide Skydda åtkomsten till Windows-datorn med låsskärm och lösenord.

Om vi istället vill låta andra personer eller familjemedlemmar använda datorn utan att ge åtkomst till vårt personliga konto, rekommenderar vi att du läser våra guider om hur man skapar konton på Windows och hanterar datoranvändare eller Hur man låter vänner och gäster använda PC:n separat och säkert.

Nu när du har läst klart Kontrollera om någon använder min dator, inbjuder vi dig att utforska kategorin Windows ytterligare. Där hittar du fler intressanta artiklar som kommer att utöka dina kunskaper och hålla dig informerad. Sluta inte läsa och upptäcka mer!