fałszywa faktura

Fałszywa faktura to spreparowany dokument rozliczeniowy wykorzystywany w celu wyłudzenia płatności.

Techniczny mechanizm działania złośliwych załączników pod postacią dokumentów rozliczeniowych

Fałszywa faktura w kontekście teleinformatycznym to wektor ataku służący do dostarczania złośliwego kodu na stację roboczą, maskujący swoje prawdziwe przeznaczenie pod postacią powiadomienia o płatności. Z technicznego punktu widzenia, plik przesyłany w wiadomości e-mail rzadko jest rzeczywistym, statycznym dokumentem tekstowym. Częściej jest to skompilowany plik binarny lub zestaw skryptów, zaprojektowany do automatycznego zainicjowania łańcucha infekcji natychmiast po wywołaniu. Twórcy tego oprogramowania wykorzystują mechanizmy systemów z rodziny Windows, w których domyślnie ukrywane są rozszerzenia znanych typów plików. Napastnicy tworzą obiekty o podwójnych rozszerzeniach, na przykład faktura_vat_nr_749.pdf.exe. Interfejs graficzny systemu prezentuje użytkownikowi jedynie fragment z rozszerzeniem pdf, podczas gdy w rzeczywistości kernel przetwarza obiekt jako plik wykonywalny w formacie PE (Portable Executable), przydzielając mu czas procesora z uprawnieniami zalogowanego profilu.

Innym powszechnym wariantem technicznym są spreparowane pliki pakietów biurowych (takich jak docx, docm, xls, xlsm), w których osadzono kod w postaci makr języka Visual Basic for Applications. Mechanizm działania zakłada wyświetlenie zablokowanej grafiki informacyjnej, skłaniającej ofiarę do wyłączenia trybu chronionego (Protected View) procesora tekstu. Skrypt VBA zagnieżdżony w dokumencie funkcjonuje w takim scenariuszu jako dropper. Za jego pomocą wywoływane są legalne procesy systemowe – cmd.exe, powershell.exe lub mshta.exe – z odpowiednimi parametrami argumentów. Procesy te nawiązują następnie komunikację, wykorzystując protokoły HTTP lub HTTPS, w celu asynchronicznego pobrania zaszyfrowanego ładunku docelowego z zewnętrznej infrastruktury Command and Control, omijając wstępne filtry skanerów na serwerach pocztowych.

Występują również wektory ataków bazujące bezpośrednio na formacie PDF, wykorzystujące luki w parserach wbudowanych w czytniki dokumentów. Dotyczą one podatności typu przepełnienie bufora pamięci (buffer overflow) lub wykonania kodu JavaScript zaszytego w binarnej strukturze obiektu PDF. Niezależnie od formatu wejściowego, proces instalacji właściwego kodu z fałszywej faktury wykonuje się w tle. Aplikacja otwierająca plik może zawiesić wątek interfejsu graficznego zaledwie na ułamek sekundy, rejestrując w tym czasie nowe wartości w rejestrze systemowym w gałęziach środowiska użytkownika oraz dodając modyfikacje do menedżera harmonogramu, co zapewnia rezydentność złośliwego oprogramowania przy każdym restarcie sprzętu.

Metody maskowania wektorów ataku i warianty ładunków w dystrybucji kodu

Dystrybucja złośliwego kodu za pomocą wiadomości symulujących faktury wymaga stosowania technik ukrywania sygnatur operacyjnych przed oprogramowaniem detekcyjnym EDR. Algorytmy droppera poddawane są procesowi obfuskacji na poziomie kodu źródłowego. Nazwy zmiennych, adresy serwerów do nawiązywania połączenia oraz wywołania API systemu operacyjnego są szyfrowane z wykorzystaniem operacji bitowych XOR lub algorytmów Base64, a odszyfrowywanie następuje dynamicznie w pamięci operacyjnej dopiero podczas wykonywania instrukcji. Aby zneutralizować wbudowany mechanizm Mark of the Web, oznaczający pliki pobrane ze źródeł zewnętrznych atrybutem Alternate Data Stream, ładunki ukryte w załącznikach często pakowane są do obrazów dysków z rozszerzeniami ISO, IMG lub VHD, a także do plików skompresowanych ZIP i RAR z zabezpieczeniem hasłem przekazanym w treści maila.

Kolejnym etapem procedury infekcji zapoczątkowanej przez fałszywą fakturę jest instalacja docelowego ładunku na urządzeniu. Jednym ze standardowych wariantów jest oprogramowanie szyfrujące typu ransomware, iterujące po wszystkich logicznych strukturach dysku lokalnego oraz udziałach sieciowych zmapowanych przez system. Wykorzystując procedury kryptograficzne, takie jak sprzętowo akcelerowany algorytm AES w trybie CBC, skrypt modyfikuje zawartość plików użytkownika na ciąg szyfrowanej macierzy danych, zmieniając rozszerzenia strukturalne i usuwając użyte klucze sprzętowe z pamięci krótkotrwałej. Wariantem alternatywnym jest dyskretna instalacja modułów RAT (Remote Access Trojan). Procesy te konfigurują nasłuchujący, ukryty port sieciowy w systemie operacyjnym, zapewniając operatorowi atakującemu asynchroniczną kontrolę nad powłoką, plikami wymiany oraz aktywnymi procesami maszyny.

Powszechnie implementowanym sposobem ukrycia aktywności w systemie docelowym jest wstrzykiwanie pobranego kodu bezpośrednio do pamięci RAM legalnych procesów (process hollowing). Polega to na uruchomieniu zaufanego narzędzia systemowego, jak svchost.exe, przerwaniu jego standardowego wątku, a następnie umieszczeniu w alokowanej przestrzeni wirtualnej docelowego kodu pobranego po interakcji z załącznikiem. Tak spreparowane warianty dystrybucyjne wymierzone są precyzyjnie we współczesne architektury 64-bitowe. Należy tutaj zaznaczyć, że ataki infekujące bardzo stary, rzadki sprzęt komputerowy oparty na przestarzałych jednostkach obliczeniowych lub archaiczne, 32-bitowe i rzadko spotykane systemy operacyjne stanowią dziś niemal rzadkość w zgłoszeniach. Twórcy wektorów infekcji celowo kompilują kod optymalizowany tylko pod najpopularniejsze, nowoczesne procesory wspierające sprzętowe szyfrowanie (np. zestawy instrukcji AES-NI), ignorując powolne środowiska i archiwalne architektury z uwagi na znikomą wartość informacyjną takich zasobów oraz ograniczenia w przepustowości połączeń.

Komplikacje systemowe po uruchomieniu procesów z fałszywych wiadomości e-mail

Uruchomienie skompilowanego ładunku z fałszywej wiadomości inicjuje natychmiastowe zmiany w kluczowych komponentach systemu operacyjnego, które bezpośrednio obniżają stabilność działania stacji roboczej oraz prowadzą do szybkiej utraty integralności zapisanych danych. W momencie aktywacji oprogramowania szyfrującego, priorytetowym poleceniem wykonywanym na wczesnym etapie algorytmu jest wywołanie wiersza poleceń z opcjami usuwającymi ukryte obrazy woluminów Shadow Copy za pomocą usługi VSS. Operacja ta skutecznie eliminuje możliwość użycia wbudowanych w środowisko Windows mechanizmów wycofywania zmian i przywracania punktów początkowych systemu. Główny moduł szyfrujący jednocześnie omija katalog instalacyjny platformy systemowej, zapewniając, że zainfekowana stacja robocza zachowa możliwość wyświetlenia interfejsu graficznego zawierającego notatkę informacyjną o sposobie wpłaty żądanej kwoty.

Złożone infekcje obejmują ponadto głęboką modyfikację powłoki interfejsu użytkownika. Złośliwy proces przejmujący uprawnienia tworzy zmodyfikowane wpisy rejestru dla instancji aplikacji powłoki i kluczy Winlogon. Skutkuje to zatrzymaniem działania paska zadań, całkowitą blokadą natywnego eksploratora plików oraz brakiem możliwości wywołania Menedżera Zadań. Jeśli z kolei pobranym modułem okaże się narzędzie do kopania walut cyfrowych (cryptominer), negatywne zmiany widoczne są bezpośrednio w parametrach sprzętowych. Główny procesor obliczeniowy oraz kontrolery na dedykowanej karcie graficznej zostają w pełni obciążone, wymuszając skokowy wzrost poboru prądu. Skutkiem jest znaczny wzrost temperatury wewnętrznej urządzenia. Moduły chłodzące pracują z wymuszoną, maksymalną przepustowością obrotową, co generuje głośny szum łożysk, a w przypadku urządzeń mobilnych następuje nadzwyczaj szybki spadek napięcia pakietu baterii oraz postępujące ryzyko termicznej degradacji pól lutowniczych pod obudowami układów scalonych.

Kolejnym skutkiem naruszenia infrastruktury oprogramowania komputera poprzez złośliwą fakturę są zmiany adresacji sieciowej. Algorytmy wirusów edytują lokalne tablice wirtualnych interfejsów lub wartości zapisane w pliku konfiguracyjnym hosts, aby wymusić przekierowania ruchu TCP/IP. Użytkownik próbujący zweryfikować problem lub pobrać program antywirusowy napotyka na błędy routingu. Dodatkowo w procesie działania skryptu wyłączone zostają usługi systemowe filtrujące pakiety sieciowe oraz wewnętrzna zapora, deaktywując moduły kontrolne w usługach systemowych. Mechanizmy te pozostawiają jednostkę podłączoną do Internetu bez obrony warstwy brzegowej, pozwalając procesom na asynchroniczny transfer skradzionych baz danych ciasteczek i sesji do serwerów zewnętrznych oraz na pobieranie dodatkowych obciążających bibliotek DLL całkowicie bez wiedzy operatora komputera.

Diagnostyka nośników i fizyczne przywracanie sprawności sprzętu po naruszeniu bezpieczeństwa

Gdy użytkownik aktywuje łańcuch infekcji zakodowany w obiekcie fałszywej faktury, konieczne jest natychmiastowe odcięcie napięcia roboczego i odseparowanie komputera od infrastruktury sieci lokalnej (wyjęcie kabla LAN, odłączenie zasilania karty WiFi), aby powstrzymać skrypty wykonujące zapis do pamięci nielotnej. Zainfekowane urządzenie staje się całkowicie niestabilne na poziomie logicznym i wymaga diagnostyki warstwy fizycznej na warsztacie przed ponownym zainicjowaniem tablic partycji MBR lub GPT. Tak poważne uszkodzenie struktury systemu wyklucza procedury weryfikacji za pomocą programów typu zdalny pulpit. Proces techniczny wymaga sprzętowego wymontowania pamięci masowej z korpusu laptopa lub komputera stacjonarnego oraz jej adaptacji do izolowanego portu serwisowego wyposażonego w kontrolery blokujące transfer modyfikujący bity powrotne do pamięci flash.

Etap początkowy polega na odczycie statystyk telemetrii kontrolera nośnika i parametrów S.M.A.R.T., badających komórki pod kątem występowania błędów korekcji ECC lub wczesnej degradacji termicznej, wywołanej długotrwałym przetwarzaniem maksymalnego obciążenia sprzętowego przez procesy złośliwe. Jeśli weryfikacja elektroniki potwierdzi stan sprawności urządzenia zapisującego, a oprogramowanie infekujące zniszczyło nagłówki struktury logicznej lub uszkodziło głowice logowania, Warszawskie Pogotowie Komputerowe stosuje procedury podstawowego odzyskiwania danych dla widocznych, nieszyfrowanych fragmentów przestrzeni LBA. Zastosowanie technik skanowania posektorowego wolnej przestrzeni nieprzydzielonej w poszukiwaniu nieskompresowanych i niezaszyfrowanych sygnatur starych kopii plików pozwala niekiedy wyekstrahować ocalałe elementy dokumentacji prywatnej na inny, bezpieczny i zweryfikowany sprzętowo napęd optyczny lub magnetyczny, z pominięciem jakiegokolwiek uruchamiania skompromitowanego kodu na diagnozowanym komputerze klienta.

Po zakończeniu odczytu widocznych informacji następuje kompletne wyzerowanie pamięci w celu bezpiecznego zniszczenia struktury wektorów ataku pobranych z fałszywych załączników. Dla napędów klasycznych aktywowane jest niskopoziomowe nadpisywanie stref talerzy za pomocą wartości zerowych, natomiast współczesne dyski SSD formowane są przy użyciu wysłanego do kontrolera sygnału Secure Erase, który trwale zmienia napięcie zasilające bramki płytek NAND. Usunięcie dotychczasowego obszaru roboczego partycji likwiduje ukryte pętle bootsektora. Etap naprawy zamyka prawidłowa, czysta instalacja docelowego środowiska operacyjnego, montaż stabilnych pakietów sterowników, zapis aktualnej paczki mikrokodu dla układów płyty głównej komputera i kontrola magistrali portów peryferyjnych.