infekcja konwersacji

Infekcja konwersacji to technika ataku wykorzystująca przejęty wątek korespondencji do rozprzestrzeniania złośliwej treści.

Jak działa infekcja konwersacji

Infekcja konwersacji to technika ataku, w której napastnik wykorzystuje istniejący wątek korespondencji do przekazania złośliwej treści. Wątek może pochodzić z poczty elektronicznej, komunikatora lub innego systemu obsługującego rozmowy między użytkownikami. Atakujący nie musi zaczynać nowej wiadomości od przypadkowego powitania. Zamiast tego dołącza do rozmowy, która już wygląda wiarygodnie, ponieważ zawiera wcześniejsze odpowiedzi, temat wiadomości, podpisy albo kontekst znany odbiorcy.

Najczęściej warunkiem takiego ataku jest wcześniejsze przejęcie konta jednego z uczestników rozmowy albo uzyskanie dostępu do jego urządzenia. Złośliwa wiadomość może zawierać załącznik, odsyłacz do fałszywej strony logowania, dokument z aktywną zawartością lub instrukcję nakłaniającą do wykonania określonej czynności. Sama obecność wiadomości w prawidłowym wątku nie potwierdza, że została wysłana przez właściwą osobę. O autentyczności trzeba wnioskować również z treści, adresu nadawcy, czasu wysłania i żądanych działań.

Dlaczego istniejący wątek zwiększa wiarygodność ataku

Systemy pocztowe i komunikatory pokazują historię rozmowy, dlatego odbiorca może uznać kolejną wiadomość za naturalną kontynuację wcześniejszych ustaleń. Napastnik wykorzystuje tę cechę do zmniejszenia czujności. Treść może odnosić się do rzeczywistego dokumentu, wcześniejszego pytania albo terminu spotkania, jeżeli informacje zostały odczytane z przejętej skrzynki. Z punktu widzenia technicznego nie oznacza to, że cała rozmowa jest zainfekowana. Złośliwy jest konkretny element dodany do komunikacji, na przykład plik lub adres internetowy.

Infekcja konwersacji może prowadzić do kradzieży danych uwierzytelniających, instalacji złośliwego oprogramowania albo dalszego przejęcia kont. Fałszywa strona logowania może zapisać podany login i hasło, a dokument może próbować wykorzystać podatność aplikacji lub nakłonić do włączenia makr. Jeżeli użytkownik używa tego samego hasła w kilku miejscach, skutki przejęcia jednego konta mogą rozszerzyć się na inne usługi. Ryzyko zależy od rodzaju dostarczonej treści, zabezpieczeń konta i tego, czy odbiorca wykonał instrukcje zawarte w wiadomości.

Rozpoznawanie podejrzanej wiadomości w rozmowie

Podczas oceny wiadomości warto sprawdzić, czy prośba pasuje do wcześniejszego przebiegu rozmowy. Szczególną ostrożność powinny wzbudzić nagłe żądania podania hasła, przejścia na inną stronę, otwarcia nieoczekiwanego załącznika albo pilnego wykonania przelewu. Należy także porównać rzeczywisty adres nadawcy z nazwą wyświetlaną w programie. Oszust może użyć adresu podobnego do prawidłowego, zmienić pojedynczy znak w domenie lub wykorzystać konto wcześniej należące do zaufanego kontaktu.

Nie należy otwierać podejrzanego załącznika ani wpisywać danych na stronie otwartej z takiej wiadomości. Bezpieczniejsza weryfikacja polega na niezależnym skontaktowaniu się z nadawcą, na przykład przez numer telefonu lub nową wiadomość utworzoną poza podejrzanym wątkiem. Jeżeli wiadomość została już otwarta, trzeba zwrócić uwagę na nietypowe zachowanie komputera: nowe okna logowania, samoczynne uruchamianie programów, zmianę ustawień przeglądarki, nieznane rozszerzenia lub komunikaty o szyfrowaniu plików. W przypadku podejrzenia przejęcia konta należy zmienić hasło z zaufanego urządzenia, zakończyć aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe, jeżeli usługa je obsługuje.

Co obejmuje sprawdzenie komputera po takim zdarzeniu

Ocena skutków infekcji powinna rozdzielać problem konta od problemu urządzenia. W historii logowania można sprawdzić nieznane sesje, lokalizacje i urządzenia, natomiast na komputerze należy przeanalizować uruchomione procesy, aplikacje startowe, rozszerzenia przeglądarki oraz wyniki skanowania zabezpieczeń. Samo usunięcie wiadomości nie cofa przejęcia konta i nie usuwa programu, który mógł zostać uruchomiony po otwarciu załącznika. Ważne jest również ustalenie, czy z komputera wysłano kolejne wiadomości do innych osób.

Warszawskie Pogotowie Komputerowe zajmuje się naprawą laptopów i komputerów stacjonarnych PC, w tym sprawdzeniem działania systemu po podejrzeniu złośliwego oprogramowania. Zakres diagnostyki powinien wynikać z objawów oraz wykonanych czynności: inaczej analizuje się samo otwarcie odsyłacza, a inaczej uruchomienie pliku i podanie hasła. Do czasu zakończenia sprawdzenia nie należy logować się z badanego urządzenia do ważnych usług ani ignorować ostrzeżeń programów zabezpieczających. Wynik diagnostyki powinien wskazać, czy problem dotyczył wyłącznie korespondencji, konta, przeglądarki, czy także systemu operacyjnego.