malware typu worm rozsyłający się dalej

Robak pocztowy to malware rozsyłający się automatycznie do kontaktów zapisanych w książce adresowej ofiary.

Jak robak pocztowy wykorzystuje książkę adresową

Robak pocztowy to szkodliwe oprogramowanie, które potrafi samodzielnie tworzyć i wysyłać kolejne kopie za pośrednictwem poczty elektronicznej. Po uruchomieniu zainfekowanego załącznika, skryptu albo pliku pobranego z wiadomości robak może odczytać adresy zapisane w lokalnym kliencie pocztowym, książce adresowej, historii korespondencji lub innych plikach konfiguracyjnych. Następnie buduje wiadomości skierowane do znalezionych odbiorców. Do wysyłki może używać programu pocztowego zainstalowanego na komputerze, zapisanej sesji użytkownika albo własnego mechanizmu komunikacji z serwerem pocztowym.

Wiadomość wysłana przez robaka często przypomina zwykłą korespondencję: może mieć krótki temat, pozornie znany adres nadawcy i załącznik o nazwie sugerującej dokument, fakturę, zdjęcie lub archiwum. Część robaków wykorzystuje także fałszowanie pola nadawcy, dlatego adres widoczny w nagłówku nie musi wskazywać rzeczywistego źródła. Sam fakt otrzymania podejrzanej wiadomości nie oznacza jeszcze infekcji. Zagrożenie pojawia się przede wszystkim po otwarciu niebezpiecznego pliku, uruchomieniu makra, kliknięciu odsyłacza prowadzącego do pobrania albo wykonaniu instrukcji zawartej w wiadomości.

Mechanizmy automatycznego rozprzestrzeniania

Po uzyskaniu dostępu do systemu robak może kopiować się do kolejnych lokalizacji, modyfikować ustawienia uruchamiania programów i obserwować procesy związane z pocztą elektroniczną. W zależności od konstrukcji wykorzystuje między innymi pliki wykonywalne, dokumenty z aktywną zawartością, skrypty powłoki, skróty systemowe lub archiwa zawierające kilka elementów. Nie każdy robak działa tak samo: jedne programy wysyłają wiadomości przez lokalny klient pocztowy, inne próbują korzystać z protokołów i usług dostępnych z poziomu zainfekowanego systemu.

Rozprzestrzenianie może następować również poza samą książką adresową. Robak może przeszukiwać pliki użytkownika w poszukiwaniu adresów e-mail, wykorzystywać kontakty zapisane w komunikatorach, reagować na odebrane wiadomości albo próbować kopiować się do udziałów sieciowych i nośników wymiennych. W efekcie jeden zainfekowany komputer może generować wiele podobnych komunikatów, obciążać łącze i powodować blokowanie skrzynki przez dostawcę poczty. Jeżeli złośliwy program wykorzystuje lukę w nieaktualnym oprogramowaniu, do infekcji może dojść bez świadomego otwierania załącznika, choć taki scenariusz zależy od konkretnej podatności i konfiguracji systemu.

Objawy infekcji i ślady w systemie

Typowym sygnałem jest pojawienie się w folderze „Wysłane” wiadomości, których użytkownik nie tworzył, albo otrzymywanie zwrotów z serwerów pocztowych dotyczących korespondencji niewysyłanej ręcznie. Warto zwrócić uwagę także na nagły wzrost liczby komunikatów wychodzących, ostrzeżenia programu antywirusowego, samoczynne uruchamianie nieznanych procesów oraz spowolnienie pracy klienta pocztowego. Niektóre robaki próbują usuwać własne wiadomości z folderu wysłanych, dlatego brak widocznych śladów w tym miejscu nie wyklucza nadużycia konta lub infekcji urządzenia.

Rozróżnienie między zainfekowanym komputerem a przejętym kontem wymaga sprawdzenia kilku źródeł informacji. Jeżeli wiadomości wychodzą z urządzenia, ślady mogą znajdować się w lokalnych logach programu pocztowego, harmonogramie zadań, autostarcie systemu, katalogach tymczasowych i historii uruchamianych plików. Jeżeli korespondencja jest wysyłana bezpośrednio z usługi internetowej, należy przeanalizować historię logowań, aktywne sesje, reguły przekazywania poczty oraz aplikacje mające dostęp do konta. Samo usunięcie podejrzanego e-maila nie usuwa przyczyny. Konieczne jest odizolowanie urządzenia, wykonanie skanowania aktualnym narzędziem ochronnym i ustalenie, czy nie doszło do ujawnienia danych uwierzytelniających.

Ograniczanie ryzyka na laptopie i komputerze PC

Podstawową ochroną jest aktualny system operacyjny, klient pocztowy, przeglądarka i program zabezpieczający. Załączniki należy otwierać dopiero po sprawdzeniu nadawcy, kontekstu wiadomości i rzeczywistego rozszerzenia pliku. Dokument wymagający włączenia makr, skryptu lub dodatkowych uprawnień powinien być traktowany jako potencjalnie niebezpieczny, szczególnie gdy wiadomość wywołuje presję czasu. Warto ograniczyć automatyczne wykonywanie aktywnej zawartości, korzystać z konta bez uprawnień administratora i wykonywać kopie zapasowe ważnych danych na nośniku niedostępnym podczas zwykłej pracy.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w przypadku podejrzenia robaka pocztowego może rozpocząć pracę od odłączenia urządzenia od sieci, zabezpieczenia istotnych plików diagnostycznych oraz sprawdzenia procesów, autostartu i ustawień poczty. Po usunięciu złośliwych elementów trzeba także zweryfikować aplikacje uruchamiane przy starcie, wyczyścić nieznane reguły przekazywania wiadomości i zmienić hasło z bezpiecznego, niezainfekowanego urządzenia. Jeżeli kilka komputerów korzysta z tej samej skrzynki lub sieci, kontrola powinna objąć każde urządzenie, ponieważ pozostawiony robak może ponownie rozpocząć wysyłkę.