malware w chmurze

Malware w chmurze to szkodliwy plik przechowywany w usłudze dyskowej, do którego wiadomość zawiera jedynie odnośnik.

Malware w chmurze jako plik udostępniony odnośnikiem

Malware w chmurze to szkodliwe oprogramowanie umieszczone w usłudze przechowywania plików dostępnej przez internet, na przykład w repozytorium dyskowym lub systemie współdzielenia dokumentów. Wiadomość e-mail, komunikat w komunikatorze albo wpis w serwisie społecznościowym może nie zawierać samego załącznika. Zamiast niego zawiera odnośnik prowadzący do pobrania pliku, podglądu dokumentu albo strony wymagającej zalogowania. Sam fakt, że plik znajduje się w popularnej usłudze chmurowej, nie potwierdza jego bezpieczeństwa.

Szkodliwym obiektem może być program wykonywalny, skrypt, archiwum, dokument biurowy z makrami, plik HTML albo skrót systemowy. W niektórych przypadkach odnośnik prowadzi do pliku bezpośrednio, a w innych do strony pośredniej, która przekierowuje przeglądarkę do kolejnego adresu. Ostateczne zagrożenie zależy od zawartości pobranego obiektu, sposobu jego uruchomienia oraz podatności używanego programu. Chmura pełni wtedy rolę miejsca przechowywania i dystrybucji, a nie osobnego rodzaju wirusa.

Wykorzystanie zaufanych usług i mechanizmów udostępniania

Napastnik może umieścić złośliwy plik na własnym koncie albo wykorzystać przejęte konto innej osoby. Odnośnik może wyglądać wiarygodnie, ponieważ prowadzi do prawdziwej domeny usługi dyskowej. Nie oznacza to jednak, że każdy element strony lub każdy udostępniony plik został opublikowany przez operatora usługi. Niekiedy konto jest używane krótko, a plik zostaje usunięty dopiero po zgłoszeniach użytkowników lub automatycznym wykryciu nadużycia.

Istotne jest rozróżnienie między domeną, z której pobierany jest plik, a adresem widocznym w treści wiadomości. Skrócone odnośniki, wielokrotne przekierowania i adresy zawierające podobnie wyglądające znaki mogą utrudniać ocenę celu. Strona może również imitować logowanie do usługi chmurowej i wyłudzać hasło, mimo że właściwy plik nie zostaje jeszcze pobrany. W takim wariancie zagrożeniem jest phishing, czyli podszywanie się pod zaufaną stronę w celu przejęcia danych uwierzytelniających.

Jak przebiega uruchomienie zagrożenia z odnośnika

Po otwarciu odnośnika przeglądarka może wyświetlić podgląd dokumentu, rozpocząć pobieranie albo przekazać plik do programu skojarzonego z danym rozszerzeniem. Niebezpieczne działanie zwykle wymaga dodatkowego kroku, takiego jak uruchomienie programu, włączenie makr, zezwolenie na wykonanie skryptu lub otwarcie archiwum i uruchomienie znajdującego się w nim pliku. Sama obecność pliku w folderze pobierania nie jest równoznaczna z jego wykonaniem.

Mechanizmy ochronne mogą analizować reputację adresu, nazwę pliku, jego strukturę oraz sygnatury znanych zagrożeń. Nie każda kontrola daje jednak identyczny wynik: nowe próbki, pliki chronione hasłem, wieloetapowe przekierowania i obiekty pobierane dopiero po interakcji użytkownika mogą utrudniać automatyczne wykrycie. Rozszerzenie widoczne w nazwie również wymaga ostrożności, ponieważ plik może mieć kilka rozszerzeń albo wykorzystywać ikonę przypominającą dokument. Ocenę należy opierać na rzeczywistym typie pliku, źródle wiadomości i oczekiwanym kontekście, a nie wyłącznie na jego nazwie.

Postępowanie po otwarciu podejrzanego pliku

Jeżeli odnośnik został tylko otwarty, należy zamknąć kartę, nie pobierać kolejnych elementów i nie wpisywać danych logowania na stronie, której autentyczność budzi wątpliwości. Jeżeli plik został pobrany, nie powinien być uruchamiany ani otwierany w aplikacji biurowej. Po przypadkowym uruchomieniu programu warto odłączyć komputer od sieci, aby ograniczyć możliwość dalszej komunikacji z serwerem sterującym, a następnie przeprowadzić kontrolę systemu z użyciem aktualnego oprogramowania zabezpieczającego.

Objawami wymagającymi sprawdzenia mogą być nieoczekiwane okna, nowe rozszerzenia przeglądarki, zmieniona strona startowa, nietypowe obciążenie procesora, blokowanie narzędzi systemowych, samoczynne uruchamianie programów albo wiadomości wysyłane z konta bez wiedzy użytkownika. Hasło wpisane na podejrzanej stronie należy zmienić z innego, zaufanego urządzenia, a aktywne sesje konta unieważnić zgodnie z możliwościami danej usługi. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, w tym diagnostyką problemów związanych z działaniem systemu po kontakcie z podejrzanym plikiem.