infekcja przez reply chain

Infekcja przez reply chain to atak polegający na wstrzyknięciu złośliwej wiadomości w istniejący łańcuch odpowiedzi.

Jak złośliwa wiadomość trafia do istniejącego łańcucha odpowiedzi

Infekcja przez reply chain polega na wykorzystaniu istniejącej rozmowy pocztowej jako nośnika złośliwej wiadomości. Atakujący może przejąć konto uczestnika korespondencji, uzyskać dostęp do skrzynki pocztowej albo przygotować wiadomość tak, aby wyglądała jak naturalna odpowiedź w już prowadzonym wątku. W polu tematu pojawia się wtedy typowy prefiks odpowiedzi, na przykład „Re:”, a treść może zawierać cytowane wcześniejsze wiadomości, podpisy oraz nazwy osób znanych odbiorcy. Sam fakt, że wiadomość znajduje się w rozpoznawalnym łańcuchu, nie potwierdza jej autentyczności.

Najczęściej złośliwy element znajduje się w załączniku, odnośniku lub przycisku umieszczonym w treści odpowiedzi. Załącznik może mieć postać dokumentu biurowego, archiwum, pliku PDF, skrótu systemu Windows albo pliku wykonywalnego z nazwą sugerującą fakturę, potwierdzenie lub dalszy ciąg ustaleń. Odnośnik może prowadzić do strony podszywającej się pod panel pocztowy, usługę udostępniania plików albo formularz logowania. W niektórych przypadkach napastnik odpowiada tylko jednym zdaniem, aby skłonić odbiorcę do otwarcia elementu bez ponownego analizowania całej wiadomości.

Dlaczego rozpoznawalny wątek zwiększa wiarygodność ataku

Mechanizm reply chain wykorzystuje zaufanie związane z kontekstem korespondencji, a nie wyłącznie fałszowanie adresu nadawcy. Odbiorca rozpoznaje temat, wcześniejsze wypowiedzi i osoby uczestniczące w rozmowie, dlatego może uznać nową wiadomość za kontynuację wcześniejszych ustaleń. Jeżeli konto jednego z rozmówców zostało przejęte, atakujący może znać szczegóły projektu, nazwy plików, stosowane zwroty oraz typowe terminy wysyłania wiadomości. Takie informacje pozwalają dopasować treść złośliwej odpowiedzi do rzeczywistej sytuacji.

Przy ocenie wiadomości warto rozdzielić trzy elementy: pochodzenie wiadomości, jej zawartość oraz działanie wykonywane po kliknięciu. Adres widoczny w programie pocztowym może różnić się od rzeczywistego adresu nadawcy, a nazwa wyświetlana przy koncie może zostać ustawiona dowolnie. Znaczenie mają również nagłówki techniczne, w tym pola Received, Authentication-Results, Return-Path oraz wyniki SPF, DKIM i DMARC, o ile są dostępne. Nie stanowią one samodzielnej gwarancji bezpieczeństwa, ale mogą ujawnić, że wiadomość została wysłana z innego systemu niż zwykle albo nie przeszła kontroli uwierzytelniania domeny.

Ostrzeżeniem są także niespójności w samym wątku: nagła zmiana stylu wypowiedzi, inny język, nietypowa prośba o pilne zalogowanie, nowe konto do pobrania dokumentu albo załącznik, którego wcześniej nie zapowiadano. Podejrzany może być również odnośnik, którego tekst sugeruje jedną domenę, natomiast po najechaniu kursorem pokazuje inną. W przypadku archiwów i dokumentów należy zwrócić uwagę na podwójne rozszerzenia, makra, żądanie włączenia zawartości oraz komunikaty nakłaniające do wyłączenia ochrony programu.

Ślady infekcji po otwarciu załącznika lub odnośnika

Skutki zależą od rodzaju złośliwego ładunku. Dokument może uruchomić skrypt lub próbować wykorzystać podatność w aplikacji, a strona logowania może służyć do wyłudzenia hasła i dodatkowych danych uwierzytelniających. Po udanym przejęciu konta napastnik może używać skrzynki do dalszej dystrybucji wiadomości w istniejących wątkach. W ten sposób infekcja nie kończy się na jednym komputerze, lecz może rozprzestrzeniać się pomiędzy osobami, które wcześniej prowadziły korespondencję.

Na laptopie lub komputerze PC sygnałami ostrzegawczymi mogą być nieoczekiwane procesy uruchomione po otwarciu pliku, nowe aplikacje, zmiany w przeglądarce, przekierowania stron, wyskakujące okna, nagłe spowolnienie pracy oraz nietypowa aktywność sieciowa. Nie każdy z tych objawów oznacza infekcję, dlatego sama obserwacja pulpitu nie wystarcza do wiarygodnego rozpoznania. Istotne jest ustalenie kolejności zdarzeń: kiedy otwarto wiadomość, czy kliknięto odnośnik, czy wpisano dane logowania, czy uruchomiono załącznik oraz jakie zmiany pojawiły się później.

Po podejrzeniu infekcji nie należy odpowiadać w tym samym wątku ani przekazywać podejrzanego załącznika innym osobom. Komputer można odłączyć od sieci, aby ograniczyć dalszą komunikację z serwerem sterującym, ale nie powinno się pochopnie usuwać plików, czyścić historii ani instalować przypadkowych narzędzi. Jeżeli wpisano hasło na podejrzanej stronie, należy zmienić je z bezpiecznego urządzenia i sprawdzić aktywne sesje oraz reguły przekazywania poczty na koncie. W przypadku załącznika trzeba zachować informację o jego nazwie, czasie otwarcia i występujących komunikatach, ponieważ ułatwia to późniejszą diagnostykę.

Postępowanie serwisowe przy podejrzeniu przejęcia komputera

Diagnostyka laptopa lub komputera PC po takim zdarzeniu powinna obejmować analizę uruchamianych procesów, autostartu, zadań harmonogramu, rozszerzeń przeglądarki, ustawień sieciowych oraz śladów pobrania i wykonania pliku. Sprawdza się również, czy nie pojawiły się nowe konta użytkowników, nieznane programy, zmienione skróty aplikacji albo nietypowe reguły zapory. Samo skanowanie jednym programem ochronnym nie zawsze odpowiada na pytanie, czy doszło do uruchomienia ładunku, dlatego wynik należy zestawić z osią czasu zdarzeń i objawami zgłoszonymi przez użytkownika.

Ważne jest odróżnienie problemu programu pocztowego od problemu systemu operacyjnego. Wiadomość może być złośliwa, mimo że komputer działa poprawnie, a infekcja może przebiegać bez widocznych objawów. Z drugiej strony nie każda nietypowa wiadomość oznacza przejęcie urządzenia. Wnioski powinny opierać się na konkretnych dowodach, takich jak wykonanie pliku, zapis podejrzanego programu na dysku, zmiana ustawień systemowych, nieautoryzowane logowanie albo potwierdzona aktywność konta wysyłającego wiadomości.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC i ich podzespołów, dlatego w przypadku podejrzenia skutków złośliwego załącznika można zlecić sprawdzenie urządzenia pod kątem działania systemu, oprogramowania i podstawowych oznak infekcji. Zakres czynności powinien wynikać z ustaleń diagnostycznych, a nie z samego faktu otrzymania wiadomości w łańcuchu odpowiedzi.