Бесплатный ВПН на ПК без вирусов: как проверить установщик до запуска

Почему к такой программе особые требования

Чтобы через туннель шли все программы, а не только браузер, клиенту нужен виртуальный сетевой адаптер. Без прав администратора Windows создать его не даст, поэтому установщики этой категории почти всегда просят повышенные права. Для вредоносной программы это подарок: получив права один раз, она может поставить службу, которая переживёт удаление самого приложения. Проверять файл поэтому нужно до двойного щелчка.

Шаг 1. Источник

Установщик берут на сайте разработчика, на странице релизов проекта с открытым кодом или в кабинете сервиса, у которого вы покупаете подписку. Сборники программ, «портативные версии» и торренты отпадают. Даже если там лежит тот же файл, убедиться в этом можно, только сравнив его с оригиналом, а раз оригинал всё равно нужен, проще скачать его.

Отдельная ловушка — реклама в поиске. Над настоящим сайтом иногда стоит объявление с похожим адресом. Прежде чем что-то скачивать, посмотрите на домен в адресной строке.

Шаг 2. Цифровая подпись

Нажмите на скачанный файл правой кнопкой и откройте «Свойства». Если файл подписан, там будет вкладка «Цифровые подписи» с именем подписавшего и датой; кнопка «Сведения» покажет, действительна ли подпись. Если файл меняли после подписания, Windows так и напишет. Неподписанный файл такой вкладки не имеет вовсе.

То же имя появится в окне контроля учётных записей при запуске: у подписанного файла там «Проверенный издатель» и название, у неподписанного — «Издатель: неизвестно».

Переоценивать подпись не стоит. Она подтверждает, кто выпустил файл и что его не трогали после, но хорошей программу не делает. Бывает и наоборот: сертификат стоит денег, и у многих проектов с открытым кодом подписи просто нет. Вирусом это файл не делает, просто главными становятся следующие шаги.

Шаг 3. Контрольная сумма

Контрольная сумма — отпечаток файла: поменяется хоть один байт, поменяется и она. Многие разработчики публикуют её рядом с установщиком, а на GitHub у каждого файла в релизе указана сумма SHA-256.

Посчитать её у себя можно без сторонних программ. Откройте PowerShell в папке с файлом и выполните:

Get-FileHash .\имя-файла.exe

По умолчанию команда считает как раз SHA-256. В обычной командной строке то же самое делает certutil -hashfile имя-файла.exe SHA256. Если строка совпала с опубликованной, у вас ровно тот файл, который выложил разработчик.

Шаг 4. VirusTotal

VirusTotal прогоняет файл через несколько десятков антивирусных движков сразу. Начинать удобнее не с загрузки, а с поиска по контрольной сумме из прошлого шага. Если файл уже кто-то проверял, откроется готовый отчёт, и отправлять ничего не придётся.

Как читать результат:

• одно-два срабатывания с общими названиями вроде Generic, Heur или Suspicious у редкой сетевой программы встречаются часто — эвристику настораживает, что программа меняет сетевые настройки;
• много срабатываний у разных движков, которые называют одно семейство, особенно со словами Trojan, Stealer или Miner, — файл не запускать;
• на вкладке Details видно имя подписавшего и дату, когда файл впервые попал в сервис; её полезно сравнить с датой релиза.

Загруженные файлы VirusTotal передаёт специалистам по безопасности, так что документы и личные файлы туда отправлять не стоит. Для общедоступного установщика это неважно.

Шаг 5. SmartScreen и Microsoft Defender

Файл, скачанный из интернета, Windows при запуске сверяет с репутационной базой SmartScreen. Синее окно «Система Windows защитила ваш компьютер» появляется у редких и неподписанных файлов и само по себе о вирусе не говорит. Под ссылкой «Подробнее» указаны имя приложения и издатель: сравните их с тем, что вы собирались скачать. Если же браузер сам заблокировал загрузку как опасную или Defender удалил файл, запускать его не надо.

Перед запуском файл можно проверить вручную: правой кнопкой → «Проверить с помощью Microsoft Defender». В Windows 11 этот пункт спрятан под «Показать дополнительные параметры».

После установки

Нормальный клиент после установки на виду: у него есть окно, значок возле часов и адаптер с понятным названием. Подозрительно, если программа сама прописалась в автозапуск, в браузере появились новые расширения, сменилась стартовая страница или «заодно» установилось что-то ещё. Автозапуск смотрят в диспетчере задач, на вкладке «Автозагрузка». Удаляют клиент через «Параметры» → «Приложения», а потом стоит проверить в сетевых подключениях, что его адаптер пропал.

Как это выглядит с Karing

Мы прогнали по этим шагам установщик Karing для Windows, который лежит у нас в кабинете. Цифровой подписи у него нет, поэтому Windows покажет неизвестного издателя, а SmartScreen может остановить запуск синим окном. Контрольная сумма SHA-256 при этом совпадает с опубликованной на странице релизов проекта на GitHub: это тот же файл, что выложили разработчики, мы его не переупаковывали. Для Karing решают третий и четвёртый шаги.

Программа бесплатная. К ней нужна подписка: три дня бесплатно и без карты, дальше 89 ₽ в месяц. Запуск от имени администратора и остальное про установку — на странице про бесплатный ВПН для ПК; там же про Mac, где свои правила.