malware w MHTML

Malware w MHTML to szkodliwy kod ukryty w archiwum strony internetowej dołączonym do wiadomości.

Malware w MHTML – czym jest i jak działa

Malware w MHTML oznacza złośliwe oprogramowanie umieszczone w pliku zapisanym w formacie MHTML, znanym również jako MHT. Taki dokument może przechowywać w jednym pliku kompletną kopię strony internetowej wraz z tekstem, arkuszami stylów, obrazami, skryptami oraz dodatkowymi elementami osadzonymi w treści. Dzięki temu strona może zostać otwarta lokalnie bez połączenia z serwerem, ale ta sama właściwość może zostać wykorzystana do ukrycia niebezpiecznej zawartości.

Plik MHTML często wygląda jak zwykły załącznik związany z dokumentem, formularzem, potwierdzeniem lub kopią strony. Po otwarciu może próbować uruchomić skrypt, przekierować do spreparowanej witryny, wyświetlić fałszywe okno logowania albo wykorzystać błąd w programie obsługującym dokument. Samo rozszerzenie nie przesądza jeszcze o zagrożeniu, ponieważ MHTML ma legalne zastosowania, między innymi do archiwizowania stron, zapisywania materiałów szkoleniowych i przechowywania dokumentacji w jednej paczce.

Ryzyko powstaje wtedy, gdy do pliku dołączono aktywne elementy, zmieniono jego strukturę w sposób utrudniający analizę lub połączono go z techniką socjotechniczną. Odbiorca może otrzymać wiadomość sugerującą pilność, konieczność sprawdzenia reklamacji, aktualizacji danych albo zapoznania się z załączoną stroną. Celem bywa kradzież haseł, instalacja kolejnego programu, przejęcie sesji przeglądarki lub rozpoznanie środowiska systemowego.

Malware w MHTML na tle HTML, PDF i archiwów

MHTML różni się od zwykłego pliku HTML tym, że łączy dokument oraz zasoby pomocnicze w jednym kontenerze. Klasyczna strona HTML może odwoływać się do obrazów i skryptów zapisanych w osobnych katalogach lub pobieranych z internetu. W MHTML te elementy mogą zostać zapisane razem, co ułatwia przenoszenie całej strony, lecz jednocześnie utrudnia szybkie rozpoznanie, co dokładnie znajduje się w środku.

Podobieństwo do dokumentu PDF może wprowadzać w błąd. PDF ma własny model obiektów i mechanizmów aktywnych, natomiast MHTML jest bliższy zapisanej kopii strony internetowej. Zagrożenie nie wynika więc wyłącznie z samego tekstu strony, lecz także z osadzonych odwołań, kodu oraz sposobu interpretacji zawartości przez przeglądarkę lub inny program. W praktyce znaczenie ma wersja systemu, używany program, ustawienia zabezpieczeń i to, czy zawartość jest uruchamiana w ograniczonym środowisku.

Plik MHTML nie jest też tym samym co archiwum ZIP. Archiwum zwykle wymaga rozpakowania, a jego zawartość można obejrzeć przed uruchomieniem. MHTML może natomiast zostać otwarty bezpośrednio przez aplikację skojarzoną z rozszerzeniem. To skraca drogę między odebraniem załącznika a wyświetleniem potencjalnie niebezpiecznej treści. Z tego powodu nie powinno się oceniać bezpieczeństwa wyłącznie po nazwie pliku, ikonie ani pozornie poprawnym temacie wiadomości.

Warto rozróżnić kilka sytuacji: złośliwy plik MHTML, legalny dokument zawierający śledzące elementy, wiadomość z linkiem do fałszywej strony oraz plik, który wykorzystuje podatność aplikacji. Objawy i sposób postępowania mogą być różne, dlatego sama obecność załącznika nie wystarcza do stwierdzenia infekcji.

Malware w MHTML – typowe problemy i objawy

Jednym z częstszych problemów jest otwarcie załącznika i pojawienie się strony przypominającej panel bankowy, pocztę elektroniczną, system faktur lub formularz firmowy. Wpisanie danych może spowodować ich przekazanie osobie nieuprawnionej. Innym sygnałem jest nagłe żądanie zalogowania, zgoda na uruchomienie zawartości, pobranie dodatkowego pliku albo wyłączenie ochrony programu.

Po kontakcie z podejrzanym MHTML mogą wystąpić także mniej oczywiste symptomy. Należą do nich nowe rozszerzenia przeglądarki, zmieniona wyszukiwarka, nieznane skróty, nietypowe powiadomienia, samoczynnie otwierane karty, przekierowania oraz zwiększona liczba komunikatów o błędach. Czasami nie pojawia się żaden widoczny objaw, ponieważ plik służy tylko do zebrania informacji o systemie lub pobrania następnego składnika w tle.

W przypadku kradzieży danych problem może ujawnić się dopiero po pewnym czasie. Może dojść do prób logowania z nieznanych urządzeń, wysyłania wiadomości z konta, zmiany ustawień poczty albo pojawienia się dokumentów, których nie przygotowano. Podejrzenie infekcji powinno być traktowane poważnie również wtedy, gdy komputer działa pozornie normalnie.

Do analizy przydają się: oryginalna wiadomość wraz z nagłówkami, nazwa i rozszerzenie załącznika, czas otwarcia, używany program oraz zaobserwowane zmiany. Nie powinno się przesyłać podejrzanego pliku przypadkowym osobom ani ponownie go otwierać w celu sprawdzenia, czy problem się powtórzy. Jeżeli plik pochodzi z poczty służbowej, należy poinformować osobę odpowiedzialną za bezpieczeństwo, zachowując kopię wiadomości w bezpiecznym miejscu.

Malware w MHTML – praktyczne wskazówki ochronne

Najbezpieczniej jest nie otwierać pliku MHTML, którego pochodzenia nie można potwierdzić. Sama znajomość nadawcy nie zawsze wystarcza, ponieważ konto mogło zostać przejęte albo wiadomość mogła zostać wysłana z adresem imitującym prawdziwy. Należy sprawdzić pełny adres nadawcy, kontekst korespondencji i zgodność załącznika z wcześniejszymi ustaleniami.

Program pocztowy i przeglądarka powinny być aktualne, a ochrona systemu nie powinna być wyłączana na żądanie dokumentu. Warto pozostawić włączone filtrowanie załączników, blokowanie automatycznego uruchamiania skryptów oraz ochronę przed wyłudzaniem danych. W środowisku, w którym takie pliki muszą być obsługiwane, przydatne jest otwieranie ich w odizolowanym profilu, na komputerze przeznaczonym do analizy albo w środowisku testowym pozbawionym dostępu do wrażliwych kont.

Po przypadkowym otwarciu podejrzanego MHTML należy zamknąć dokument, odłączyć urządzenie od sieci, jeśli pojawiły się oznaki aktywności, oraz wykonać pełne skanowanie. Nie należy od razu usuwać wszystkich śladów, ponieważ wiadomość, plik i informacje o zdarzeniu mogą pomóc w ustaleniu sposobu działania zagrożenia. Hasła najlepiej zmieniać z innego, zaufanego urządzenia, zwłaszcza gdy na podejrzanej stronie wpisano dane logowania. Włączone uwierzytelnianie wieloskładnikowe ogranicza skutki przejęcia samego hasła, choć nie zastępuje analizy urządzenia.

• Nie otwierać nieoczekiwanych plików MHTML z wiadomości i komunikatorów.
• Nie zezwalać na uruchamianie aktywnej zawartości bez wyraźnej potrzeby.
• Nie wpisywać haseł na stronie otwartej z podejrzanego załącznika.
• Zapisać temat wiadomości, nadawcę, godzinę i okoliczności otwarcia.
• Po podejrzeniu infekcji sprawdzić także konta pocztowe, przeglądarki i zapisane sesje.

Malware w MHTML – kiedy zgłosić się do serwisu

Do serwisu warto zgłosić się wtedy, gdy po otwarciu pliku pojawiły się nieznane procesy, zmiany w przeglądarce, blokady programów, nietypowe połączenia sieciowe albo komunikaty o żądaniu danych. Pomoc jest szczególnie wskazana po wpisaniu hasła na stronie wyświetlonej z załącznika, po pobraniu kolejnego pliku lub gdy ochrona systemu została wyłączona. W takiej sytuacji przydatna jest analiza urządzenia, kontrola autostartu, przegląd rozszerzeń oraz sprawdzenie, czy nie pozostały mechanizmy ponownego uruchamiania złośliwego kodu.

Warszawskie Pogotowie Komputerowe 24/7 przyjmuje zgłoszenia dotyczące podejrzanych załączników MHTML, objawów infekcji i problemów z bezpiecznym działaniem laptopa. Przed przekazaniem urządzenia można przygotować opis zdarzenia oraz zachować wiadomość, bez ponownego otwierania pliku. W toku sprawdzania można ustalić, czy doszło do infekcji, wyłudzenia danych, zmiany ustawień czy tylko do kontaktu z nieszkodliwą kopią strony.

Warto zgłosić się również wtedy, gdy skanowanie nie wykazało zagrożenia, ale nadal występują przekierowania, nieznane komunikaty lub problemy z logowaniem. Uporządkowana analiza pomaga oddzielić faktyczne działanie malware od zwykłej usterki przeglądarki i ułatwia dobranie dalszych działań. Do czasu wyjaśnienia sprawy nie powinno się korzystać z podejrzanego urządzenia do bankowości, zakupów ani zarządzania ważnymi kontami.