malware phishingowy

Malware phishingowy to złośliwe oprogramowanie rozpowszechniane przez kampanie wyłudzające dane logowania.

Jak działa malware phishingowy

Malware phishingowy to złośliwe oprogramowanie dostarczane za pomocą wiadomości lub stron przygotowanych tak, aby skłonić odbiorcę do określonego działania. Atak może zaczynać się od e-maila, wiadomości SMS, komunikatora albo fałszywego powiadomienia w przeglądarce. Oszust podszywa się na przykład pod bank, operatora płatności, dostawcę usług internetowych, firmę kurierską lub współpracownika. Celem jest nakłonienie użytkownika do otwarcia załącznika, uruchomienia pliku, kliknięcia odnośnika albo wpisania danych na stronie kontrolowanej przez atakującego.

W praktyce określenie to opisuje połączenie dwóch elementów: phishingu jako metody dostarczenia lub nakłonienia do działania oraz malware jako właściwego programu wykonującego szkodliwe operacje. Po uruchomieniu złośliwy plik może pobrać kolejny komponent, zmienić ustawienia systemu, przejąć zapisane sesje przeglądarki, rejestrować naciśnięcia klawiszy albo umożliwić zdalny dostęp. Nie każda wiadomość phishingowa zawiera malware, ponieważ część kampanii służy wyłącznie do kradzieży haseł. Jeżeli jednak phishing prowadzi do instalacji programu lub uruchomienia kodu na urządzeniu, zagrożenie obejmuje zarówno wyłudzenie danych, jak i infekcję systemu.

Typowy łańcuch infekcji po wiadomości phishingowej

Pierwszym etapem jest przygotowanie wiarygodnego komunikatu. Wiadomość może zawierać presję czasu, informację o rzekomej blokadzie konta albo prośbę o potwierdzenie płatności. Odnośnik prowadzi do strony naśladującej prawdziwy serwis logowania. W innych przypadkach załącznik ma postać dokumentu, archiwum lub pliku wykonywalnego. Samo pobranie pliku nie zawsze oznacza infekcję, ale uruchomienie nieznanego programu, włączenie makr lub zaakceptowanie nietypowej prośby systemowej może rozpocząć dalszą część ataku.

Po aktywacji malware może działać etapami. Początkowy moduł, nazywany czasem dropperem lub loaderem, zapisuje albo pobiera właściwy komponent. Następnie program może próbować utrzymać uruchamianie po restarcie, komunikować się z serwerem sterującym i przesyłać informacje o komputerze. Zakres działania zależy od konkretnej rodziny malware. Jedne programy koncentrują się na hasłach i plikach cookie przeglądarki, inne szyfrują pliki, instalują narzędzia zdalnego dostępu lub pobierają kolejne zagrożenia. Z tego powodu sama nazwa „phishingowy” nie wskazuje jednego wirusa ani jednego sposobu usuwania.

Objawy i bezpieczna weryfikacja komputera

Możliwymi sygnałami infekcji są nieoczekiwane okna logowania, przekierowania przeglądarki, nowe rozszerzenia, wyłączona ochrona systemowa, spowolnienie bez wyraźnej przyczyny, nieznane procesy oraz wiadomości wysyłane z konta użytkownika bez jego wiedzy. Objawy te nie stanowią jednak dowodu, ponieważ podobne zachowanie może powodować wadliwe rozszerzenie, niepożądane oprogramowanie albo problem z konfiguracją. Istotne są również okoliczności: otwarcie podejrzanego załącznika, uruchomienie programu pobranego z wiadomości lub wpisanie hasła na stronie o nietypowym adresie.

Po podejrzeniu infekcji należy przerwać dalszą pracę na urządzeniu i nie wpisywać na nim kolejnych haseł. Jeżeli komputer nadal jest połączony z internetem, odłączenie sieci może ograniczyć komunikację z serwerem sterującym, choć nie zastępuje pełnej analizy. Hasła powinno się zmieniać z innego, zaufanego urządzenia, a przy kontach obsługujących logowanie wieloskładnikowe trzeba sprawdzić aktywne sesje, urządzenia i reguły przekazywania poczty. Weryfikacja obejmuje skanowanie aktualnym narzędziem ochronnym, przegląd programów uruchamianych wraz z systemem, kontrolę rozszerzeń przeglądarki oraz sprawdzenie, czy nie pojawiły się nieznane konta użytkowników lub zadania automatyczne.

Postępowanie serwisowe po kontakcie z malware

Naprawa powinna rozpocząć się od ustalenia, co dokładnie wydarzyło się na komputerze: jaka wiadomość została otwarta, czy uruchomiono załącznik, jakie dane wpisano i jakie objawy wystąpiły później. Warto zachować wiadomość oraz adres strony, ale nie należy ponownie otwierać podejrzanych plików. Podczas diagnostyki sprawdza się stan systemu, procesy, autostart, przeglądarki, pliki tymczasowe i działanie ochrony antywirusowej. Jeżeli nie można wiarygodnie potwierdzić usunięcia wszystkich komponentów, stosuje się kopię potrzebnych plików po wcześniejszym sprawdzeniu ich bezpieczeństwa, a następnie czystą instalację systemu i odtworzenie danych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką skutków infekcji, sprawdzeniem systemu oraz konfiguracją podstawowych zabezpieczeń po usunięciu zagrożenia. Przywrócenie sprawności urządzenia nie kończy całego postępowania: trzeba także zabezpieczyć konta, wycofać nieznane sesje, usunąć podejrzane rozszerzenia i zaktualizować system oraz aplikacje. Szczególną ostrożność należy zachować wobec wiadomości żądających szybkiego logowania, instalacji programu lub wyłączenia ochrony. Legalny komunikat można zweryfikować przez samodzielne wpisanie adresu usługi w przeglądarce, zamiast korzystania z odnośnika zawartego w wiadomości.