malware podszywający się pod instytucję

Malware podszywający się pod instytucję to szkodliwy program dostarczany w wiadomości imitującej urząd lub bank.

Jak działa malware podszywający się pod instytucję

Malware podszywający się pod instytucję to złośliwe oprogramowanie rozpowszechniane z użyciem komunikatu, który ma wyglądać jak wiadomość od banku, urzędu, operatora płatności, firmy kurierskiej albo innej rozpoznawalnej organizacji. Samo podszywanie się jest elementem socjotechniki, natomiast właściwe zagrożenie stanowi załącznik, odsyłacz lub plik pobrany ze wskazanej strony. Celem wiadomości może być nakłonienie do uruchomienia programu, włączenia zawartości dokumentu, podania danych logowania albo zainstalowania rzekomej aplikacji.

Nadawca może zostać sfałszowany na poziomie widocznej nazwy, a adres poczty elektronicznej może używać domeny podobnej do prawdziwej, lecz zapisanej z dodatkowym znakiem, inną końcówką lub literówką. W treści często występuje presja czasu, informacja o blokadzie rachunku, nieopłaconej należności albo konieczności potwierdzenia tożsamości. Taki komunikat nie jest jeszcze malware, ale tworzy ścieżkę dostarczenia złośliwego kodu. Po otwarciu załącznika lub wejściu na spreparowaną stronę może dojść do pobrania kolejnego pliku, uruchomienia skryptu albo przekierowania do fałszywego formularza.

Załączniki, odsyłacze i mechanizmy uruchomienia

Wiadomość tego typu może zawierać dokument biurowy, archiwum, plik wykonywalny, skrót systemowy albo dokument HTML. Rozszerzenie widoczne w nazwie nie zawsze odpowiada rzeczywistemu typowi pliku, dlatego należy zwracać uwagę na pełną nazwę oraz końcówkę pliku, a nie tylko na ikonę. Archiwum może ukrywać drugi plik, a skrót może uruchamiać program z parametrami przekazanymi przez osobę atakującą. Dokument może również próbować nakłonić do włączenia makr lub innej aktywnej zawartości. Samo wyświetlenie dokumentu nie zawsze oznacza infekcję, ale wykonanie zawartego w nim kodu zwiększa ryzyko.

Odsyłacz może prowadzić do strony kopiującej wygląd banku lub urzędu, do witryny przekierowującej przez kilka adresów albo do pliku pobieranego z wcześniej przejętego serwera. Współczesne kampanie mogą wykorzystywać skrypty w przeglądarce, pliki skompresowane, obrazy zawierające ukryte dane lub instrukcję instalacji programu do obsługi płatności. Po uruchomieniu malware może pobrać dodatkowy moduł, ustanowić mechanizm automatycznego startu, zmienić ustawienia przeglądarki, przechwytywać dane wpisywane w formularzach albo umożliwić zdalne wykonywanie poleceń. Zakres działania zależy od konkretnej rodziny złośliwego oprogramowania i uzyskanych uprawnień systemowych.

Objawy infekcji i bezpieczne sprawdzenie komputera

Objawami możliwej infekcji mogą być nieoczekiwane okna logowania, przekierowania w przeglądarce, nowe rozszerzenia, samoczynne uruchamianie programów, spowolnienie komputera, nietypowe obciążenie procesora lub sieci oraz komunikaty o wyłączeniu ochrony systemu. Nie każdy z tych sygnałów oznacza malware, ponieważ podobne zachowanie mogą powodować błędy aplikacji, niechciane dodatki albo problemy z dyskiem. Istotne jest powiązanie objawu z konkretnym zdarzeniem, takim jak otwarcie załącznika, kliknięcie odsyłacza lub instalacja programu wskazanego w wiadomości.

Po podejrzeniu infekcji należy przerwać pracę na tym komputerze i odłączyć go od sieci, jeżeli działanie złośliwego programu może trwać w tle. Nie należy wpisywać kolejnych haseł, wykonywać przelewów ani zatwierdzać komunikatów wyświetlanych przez podejrzaną aplikację. Ważne jest zachowanie wiadomości wraz z nagłówkami, adresu strony, nazwy pliku i czasu wystąpienia problemu, ponieważ te informacje pomagają odtworzyć przebieg zdarzenia. Skanowanie powinno być wykonane aktualnym narzędziem ochronnym, najlepiej po uruchomieniu systemu w trybie ograniczającym automatyczne działanie podejrzanych programów. Samo usunięcie wiadomości nie usuwa plików, zmian w systemie ani zapisanych mechanizmów autostartu.

Postępowanie po uruchomieniu podejrzanego pliku

Jeżeli załącznik został uruchomiony, trzeba rozróżnić kilka sytuacji: plik mógł zostać tylko otwarty, mógł wykonać kod, mógł pobrać dodatkowy komponent albo mógł uzyskać uprawnienia administratora. Dlatego ocena ryzyka nie powinna opierać się wyłącznie na tym, czy pojawił się widoczny komunikat. Należy sprawdzić procesy uruchomione po zdarzeniu, zadania automatyczne, programy startowe, rozszerzenia przeglądarki oraz połączenia sieciowe, a następnie wykonać pełną diagnostykę. W przypadku zablokowania plików lub pojawienia się żądania zapłaty nie należy samodzielnie modyfikować danych, ponieważ może to utrudnić ustalenie przyczyny.

Po usunięciu zagrożenia trzeba zmienić hasła użyte na potencjalnie zainfekowanym komputerze, korzystając z innego, zaufanego urządzenia. Warto również przejrzeć historię logowań i aktywności kont, sprawdzić reguły przekierowania poczty oraz usunąć nieznane aplikacje lub dodatki, ale każdą zmianę należy wykonywać dopiero po zabezpieczeniu materiału potrzebnego do diagnostyki. Kopie zapasowe powinny być podłączane dopiero po potwierdzeniu, że system jest czysty, aby nie nadpisać dobrych danych zainfekowanymi plikami. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką skutków uruchomienia złośliwego oprogramowania oraz przywracaniem prawidłowego działania systemu.