malware w formacie RTF

Malware w formacie RTF to złośliwy kod wykorzystujący podatności parsera tego formatu dokumentów.

Malware w formacie RTF – czym jest i dlaczego stanowi zagrożenie

Malware w formacie RTF oznacza złośliwe oprogramowanie powiązane z dokumentem zapisanym jako Rich Text Format. RTF kojarzy się zwykle z prostym plikiem tekstowym, który może przechowywać podstawowe style, kolory, listy, tabele i elementy układu. W praktyce dokument nie zawsze jest jedynie zbiorem widocznych znaków. Może zawierać dodatkowe informacje sterujące, odwołania do obiektów, dane osadzone oraz konstrukcje, które muszą zostać zinterpretowane przez program otwierający plik.

Niebezpieczeństwo pojawia się wtedy, gdy specjalnie przygotowany dokument wykorzystuje błąd w sposobie odczytywania tych danych. Podatny program może niewłaściwie sprawdzić długość, strukturę albo znaczenie określonego fragmentu pliku. W efekcie złośliwa zawartość może doprowadzić do awarii aplikacji, wykonania niepożądanych instrukcji lub uruchomienia kolejnego komponentu malware. Samo rozszerzenie dokumentu nie przesądza jeszcze o bezpieczeństwie. Plik RTF może być poprawnym dokumentem, ale może też pełnić funkcję nośnika ataku.

Atak często rozpoczyna się od wiadomości e-mail, załącznika pobranego z komunikatora albo pliku znalezionego w niepewnym miejscu w internecie. Nazwa dokumentu może sugerować fakturę, umowę, formularz, CV lub inną treść, która skłania do szybkiego otwarcia. Złośliwy dokument nie musi wyglądać podejrzanie na pierwszy rzut oka. Widoczny tekst może być krótki, pusty albo pozornie uszkodzony, podczas gdy problem znajduje się w niewidocznych strukturach pliku.

Malware RTF w kontekście parsera i innych dokumentów

Każdy program obsługujący dokument musi przeanalizować jego budowę. Parser rozpoznaje znaczniki, grupy danych, znaki specjalne, odwołania i elementy formatowania, a następnie przekazuje je do kolejnych modułów aplikacji. Błąd na którymkolwiek etapie może stworzyć sytuację, w której dane użytkownika zostaną potraktowane jak instrukcje sterujące. Dlatego bezpieczeństwo dokumentu zależy nie tylko od jego treści widocznej na ekranie, lecz także od programu, biblioteki i systemu użytego do jego otwarcia.

RTF różni się od zwykłego pliku tekstowego tym, że posiada własne reguły opisu formatowania. Zwykły tekst można zazwyczaj odczytać bez interpretowania rozbudowanych poleceń. Dokument RTF wymaga natomiast rozpoznania specjalnych sekwencji i grup. Im bardziej złożona zawartość, tym więcej operacji wykonuje aplikacja podczas wczytywania. Nie oznacza to, że każdy rozbudowany dokument jest szkodliwy. Oznacza jednak, że aktualność programu i ostrożność przy otwieraniu załączników mają istotne znaczenie.

W porównaniu z dokumentami zawierającymi makra malware w formacie RTF może próbować wykorzystać błąd obsługi samego formatu albo obiektu osadzonego w dokumencie. Użytkownik nie zawsze zobaczy ostrzeżenie typowe dla makr, ponieważ mechanizm ataku może działać na wcześniejszym etapie. Z tego powodu samo wyłączenie makr nie powinno być traktowane jako pełna ochrona. Potrzebne są także aktualizacje aplikacji, filtrowanie załączników, kontrola źródeł plików i ograniczenie uprawnień programu.

Warto rozróżnić kilka pojęć. Podatność jest błędem w oprogramowaniu, exploit jest sposobem wykorzystania tego błędu, a malware to złośliwy kod lub program uruchamiany w następstwie ataku. Dokument RTF może być nośnikiem exploita, elementem kampanii phishingowej albo pierwszym etapem infekcji. Nie każda awaria programu po otwarciu dokumentu oznacza infekcję, lecz nieoczekiwane zachowanie powinno zostać potraktowane poważnie i sprawdzone.

Typowe objawy malware w formacie RTF

Objawy zależą od rodzaju błędu, wersji aplikacji oraz tego, co próbuje osiągnąć osoba przygotowująca złośliwy plik. Czasem reakcja jest natychmiastowa, a czasem dokument pozostaje pozornie normalny i dopiero później pojawiają się symptomy działania dodatkowego programu. Należy zwrócić uwagę na sytuacje, w których po otwarciu dokumentu:

• program do edycji tekstu niespodziewanie się zamyka, zawiesza albo długo nie odpowiada,
• system wyświetla komunikat o błędzie, którego wcześniej nie pokazywał przy podobnych plikach,
• pojawia się nowe, nieznane okno, proces lub skrót w menu,
• przeglądarka zmienia stronę startową, wyszukiwarkę albo zachowanie bez świadomej decyzji użytkownika,
• oprogramowanie ochronne zgłasza podejrzany plik, proces lub połączenie,
• komputer zaczyna działać wyraźnie wolniej, a obciążenie procesora lub pamięci rośnie bez wyraźnej przyczyny,
• z dokumentu znikają elementy, pojawiają się niezrozumiałe znaki albo aplikacja proponuje pobranie dodatkowego składnika.

Jeden z wymienionych objawów nie jest dowodem infekcji. Zawieszanie programu może wynikać z uszkodzenia dokumentu, braku pamięci albo niezgodności wersji. Zestawienie kilku oznak, zwłaszcza po otwarciu pliku z nieznanego źródła, uzasadnia jednak ostrożność. Nie powinno się wtedy ponownie otwierać tego samego dokumentu, przesyłać go dalej ani wyłączać ochrony tylko po to, aby sprawdzić, czy problem zniknie.

Jak bezpiecznie postępować z dokumentem RTF

Najbezpieczniej jest nie otwierać niespodziewanego załącznika bez sprawdzenia nadawcy i kontekstu wiadomości. Adres nadawcy może być sfałszowany albo bardzo podobny do prawdziwego. Wątpliwości powinny wzbudzać prośby o natychmiastowe działanie, nietypowy język, presja czasu, niezgodność tematu z wcześniejszą korespondencją oraz dokument, którego odbiorca się nie spodziewał. W razie wątpliwości można skontaktować się z nadawcą innym kanałem i potwierdzić, czy plik rzeczywiście został wysłany.

Programy do obsługi dokumentów i system powinny być regularnie aktualizowane. Aktualizacja może usuwać błędy, które wcześniej umożliwiały wykonanie złośliwego kodu podczas przetwarzania pliku. Warto również korzystać z ochrony antymalware, pozostawić włączone skanowanie załączników i nie uruchamiać dokumentów z uprawnieniami administratora. Jeśli program proponuje włączenie dodatkowych funkcji, pobranie składnika albo zezwolenie na nietypową operację, należy najpierw ustalić, czy jest to konieczne.

Po podejrzanym otwarciu pliku można odłączyć komputer od internetu, szczególnie gdy pojawiły się nietypowe okna, nieznane procesy lub ostrzeżenie programu ochronnego. Nie należy od razu usuwać wszystkich śladów ani instalować wielu przypadkowych narzędzi, ponieważ może to utrudnić ocenę sytuacji. Warto zapisać nazwę pliku, godzinę zdarzenia, treść komunikatu i adres źródłowy. Jeżeli na komputerze przechowywane są ważne dane, kopie zapasowe powinny być sprawdzane z użyciem bezpiecznego urządzenia.

Przydatną praktyką jest otwieranie dokumentów otrzymanych z zewnątrz w środowisku ograniczającym dostęp do plików użytkownika. W warunkach domowych można przynajmniej użyć osobnego konta bez uprawnień administracyjnych i zadbać o aktualną ochronę systemu. Nie daje to gwarancji bezpieczeństwa, ale ogranicza możliwe skutki. Szczególnej ostrożności wymagają dokumenty pochodzące z anonimowych formularzy, nieoczekiwanych wiadomości oraz stron, które wymuszają pobieranie plików.

Kiedy zgłosić malware w formacie RTF do serwisu

Do serwisu warto zgłosić się wtedy, gdy po otwarciu dokumentu wystąpiła awaria aplikacji połączona z nietypowym zachowaniem systemu, program ochronny wykrył zagrożenie albo nie ma pewności, czy komputer nadal jest bezpieczny. Dotyczy to również sytuacji, w której z dokumentem pracowano na komputerze używanym do bankowości, obsługi poczty, przechowywania haseł lub dokumentów osobistych. Szybka konsultacja pomaga ustalić, czy problem ogranicza się do uszkodzonego pliku, czy wymaga szerszego sprawdzenia systemu.

W Warszawie takie przypadki można przekazać do firmy Warszawskie Pogotowie Komputerowe 24/7. Przy zgłoszeniu dobrze przekazać informacje o źródle dokumentu, używanym programie, godzinie otwarcia, komunikatach i zmianach zauważonych później. Nie trzeba rozpowszechniać podejrzanego pliku ani otwierać go ponownie na innym komputerze. Jeżeli dokument jest potrzebny jako materiał do analizy, powinien zostać przekazany w sposób uzgodniony z serwisem.

Do czasu sprawdzenia nie należy logować się na ważne konta z podejrzanego urządzenia, podłączać nieznanych nośników ani ignorować komunikatów ochrony. Hasła używane na tym komputerze najlepiej zmienić z innego, zaufanego urządzenia, zwłaszcza gdy pojawiły się oznaki przejęcia przeglądarki lub nietypowej aktywności kont. Po zakończeniu analizy warto ustalić, czy konieczne są dodatkowe aktualizacje, przywrócenie danych z kopii zapasowej oraz zmiana codziennych zasad otwierania załączników.