kampania e-mailowa z malware

Kampania e-mailowa z malware to złośliwa wysyłka, której celem jest zainfekowanie urządzeń odbiorców.

Jak wygląda kampania e-mailowa z malware

Kampania e-mailowa z malware to skoordynowana wysyłka wiadomości przygotowanych tak, aby nakłonić odbiorcę do uruchomienia złośliwego pliku, kliknięcia w spreparowany odnośnik albo przekazania danych uwierzytelniających. Nadawca może podszyć się pod firmę kurierską, bank, dostawcę oprogramowania, pracodawcę lub kontrahenta. Wiadomość często zawiera fałszywe informacje o fakturze, płatności, blokadzie konta albo przesyłce. Do zwiększenia wiarygodności wykorzystuje się nazwę i wygląd prawdziwej marki, podobną domenę internetową oraz adres nadawcy sfałszowany na poziomie nagłówka From.

Malware może zostać dostarczony jako załącznik, odnośnik do pobrania albo element dokumentu wymagający włączenia dodatkowych funkcji. Spotykane są między innymi archiwa ZIP, dokumenty pakietu Microsoft Office, pliki HTML, skróty Windows .lnk oraz skrypty. Samo rozszerzenie widoczne w Eksploratorze Windows nie zawsze wystarcza do oceny ryzyka, ponieważ system może ukrywać znane rozszerzenia, a nazwa pliku może zawierać podwójne rozszerzenie, na przykład faktura.pdf.exe.

Mechanizmy dostarczania i uruchamiania

Wiadomość phishingowa może prowadzić do strony, która kopiuje ekran logowania do poczty lub innej usługi. W takim wariancie złośliwy kod nie musi być instalowany na komputerze, ponieważ celem jest przechwycenie loginu, hasła albo jednorazowego kodu. Odnośnik może używać skróconego adresu, wielokrotnych przekierowań lub domeny różniącej się od prawdziwej jednym znakiem. Adres strony warto sprawdzać bezpośrednio w pasku przeglądarki, a nie na podstawie samego wyglądu formularza.

Załącznik może uruchamiać program pobierający kolejne składniki, konia trojańskiego, ransomware albo narzędzie zdalnego dostępu. W systemie Windows wykonanie pliku może doprowadzić do utworzenia wpisu autostartu, zadania w Harmonogramie zadań, usługi lub procesu działającego w tle. Złośliwy program może także modyfikować ustawienia przeglądarki, szyfrować pliki, kraść zapisane sesje i wysyłać informacje do serwera sterującego. Ochrona antywirusowa ogranicza ryzyko, ale nie zastępuje analizy nadawcy, adresu docelowego i kontekstu wiadomości.

Rozpoznawanie i bezpieczna reakcja

Do sygnałów ostrzegawczych należą presja czasu, nietypowa prośba o zapłatę, niespodziewany załącznik, błędy w nazwie domeny, brak wcześniejszej korespondencji oraz żądanie wyłączenia ochrony lub włączenia makr. Wiarygodność wiadomości można dodatkowo ocenić na podstawie pełnych nagłówków, w tym pól Received, Return-Path i wyników mechanizmów uwierzytelniania poczty: SPF, DKIM oraz DMARC. Ich obecność nie gwarantuje bezpieczeństwa, ponieważ poprawnie uwierzytelniona domena może zostać wykorzystana w kampanii lub może należeć do zainfekowanego nadawcy.

Nieznanego załącznika nie należy otwierać na próbę ani odpowiadać na wiadomość w celu potwierdzenia jej autentyczności. Bezpieczniej skontaktować się z nadawcą przez wcześniej znany numer telefonu lub adres, a podejrzaną wiadomość oznaczyć jako phishing w używanym kliencie pocztowym. Jeżeli plik został uruchomiony, należy odłączyć komputer od sieci przez wyłączenie Wi-Fi lub odłączenie przewodu Ethernet, nie kasować pochopnie dowodów i przekazać urządzenie do analizy. Zmiana haseł powinna odbywać się z innego, zaufanego urządzenia; poświadczenia użyte na podejrzanej stronie należy uznać za zagrożone.

Skutki infekcji i działania serwisowe

Skutki kampanii zależą od rodzaju dostarczonego programu i uprawnień użytkownika. Mogą obejmować kradzież haseł, przejęcie kont, instalację kolejnych aplikacji, nieautoryzowane szyfrowanie danych, spowolnienie komputera oraz nietypową aktywność sieciową. Objawami bywają nowe procesy i rozszerzenia przeglądarki, zmieniona strona startowa, komunikaty o szyfrowaniu plików, wyłączona ochrona systemowa, nieznane zadania w autostarcie oraz wysyłanie wiadomości z konta użytkownika bez jego wiedzy.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką urządzeń, na których mogło dojść do uruchomienia złośliwego oprogramowania. Taka diagnostyka może obejmować ocenę stanu systemu, sprawdzenie procesów i autostartu, skanowanie z użyciem aktualnych narzędzi bezpieczeństwa, usunięcie wykrytych składników oraz zabezpieczenie ważnych plików przed ponownym użyciem. Przy podejrzeniu ransomware nie należy nadpisywać dysku ani instalować przypadkowych programów, ponieważ może to utrudnić późniejsze odtworzenie danych i ustalenie przebiegu zdarzenia.