malware wieloetapowy

Malware wieloetapowy to infekcja przebiegająca w kilku fazach, gdzie pierwszy komponent pobiera kolejne z sieci.

Budowa infekcji wieloetapowej

Malware wieloetapowy to sposób prowadzenia ataku, w którym pierwsza uruchomiona część złośliwego oprogramowania nie wykonuje wszystkich działań samodzielnie. Jej zadaniem może być uzyskanie początkowego uruchomienia w systemie, rozpoznanie środowiska, nawiązanie połączenia z serwerem sterującym oraz pobranie następnych komponentów. Kolejne elementy są wtedy dostarczane dopiero po spełnieniu określonych warunków, na przykład po sprawdzeniu wersji systemu, uprawnień użytkownika albo obecności narzędzi zabezpieczających.

Pierwszy etap bywa nazywany modułem początkowym, dropperem, downloaderem albo loaderem, zależnie od jego funkcji. Dropper może zawierać następny komponent w swoim wnętrzu, natomiast downloader pobiera go z sieci. Loader odpowiada za przygotowanie i uruchomienie właściwego ładunku, czasem bez zapisywania go wprost jako zwykłego pliku. W jednej infekcji mogą występować różne role: moduł uzyskujący dostęp, komponent utrwalający obecność, narzędzie kradnące dane oraz osobny moduł zdalnego sterowania.

Pobieranie kolejnych komponentów i utrwalanie obecności

Wieloetapowy łańcuch może rozpoczynać się od pliku pobranego z poczty elektronicznej, dokumentu z aktywną zawartością, fałszywego instalatora, skryptu albo wykorzystania podatności w aplikacji. Po uruchomieniu pierwszy komponent może sprawdzić, czy działa z odpowiednimi uprawnieniami, zebrać podstawowe informacje o systemie i skontaktować się z infrastrukturą atakującego. Do komunikacji bywają wykorzystywane zwykłe protokoły sieciowe, w tym HTTP lub HTTPS, dlatego sam fakt użycia szyfrowanego połączenia nie świadczy o bezpieczeństwie procesu.

Pobierany komponent może być zapisany w katalogu użytkownika, w pamięci procesu albo w lokalizacji używanej przez mechanizmy automatycznego uruchamiania. Przykładami miejsc wymagających sprawdzenia są zadania Harmonogramu zadań, klucze autostartu rejestru Windows, usługi systemowe oraz foldery uruchamiania. Sposób utrwalania zależy od uzyskanych uprawnień i konkretnej rodziny malware. Złośliwy program może również pobierać następne moduły dopiero po pewnym czasie, po restarcie systemu albo po otrzymaniu polecenia z serwera sterującego.

Dlaczego pojedynczy skan może nie wystarczyć

W infekcji wieloetapowej plik wykryty podczas pierwszego badania nie zawsze jest głównym zagrożeniem. Usunięcie samego downloadera może przerwać bieżące pobieranie, ale nie musi usunąć komponentu, który został już zapisany, uruchomiony lub dodany do autostartu. Z kolei skasowanie ładunku bez ustalenia mechanizmu jego ponownego uruchamiania może prowadzić do odtworzenia infekcji po restarcie albo przy kolejnym logowaniu użytkownika.

Analiza powinna obejmować zależności między procesami, plikami, zadaniami automatycznego uruchamiania i połączeniami sieciowymi. Przydatne są informacje z historii ochrony antywirusowej, dzienników systemowych, zapory oraz narzędzi monitorujących procesy. Należy zweryfikować ścieżki plików, podpisy cyfrowe, sumy kontrolne, argumenty wiersza poleceń i moment pojawienia się elementów w systemie. Istotne jest także odłączenie urządzenia od sieci, jeżeli aktywna komunikacja może powodować dalsze pobieranie modułów lub wykonywanie poleceń zdalnych. Nie należy uruchamiać podejrzanych plików ponownie tylko po to, aby sprawdzić ich działanie.

Po usunięciu wykrytych elementów potrzebna jest kontrola następcza. Obejmuje ona ponowne skanowanie, sprawdzenie autostartu, weryfikację nietypowych procesów i obserwację, czy nie pojawiają się kolejne połączenia lub pliki. Jeżeli malware uzyskał wysokie uprawnienia, sama dezinstalacja jednego programu nie daje pewności, że system odzyskał zaufany stan. W zależności od rodzaju wykrycia może być konieczne odtworzenie systemu z wiarygodnego źródła oraz zmiana haseł z użyciem bezpiecznego urządzenia.

Postępowanie serwisowe przy podejrzeniu malware wieloetapowego

Na laptopie lub komputerze PC diagnostyka takiej infekcji powinna rozpocząć się od zebrania objawów i ustalenia, co wydarzyło się przed ich wystąpieniem. Znaczenie mają między innymi samoczynne uruchamianie aplikacji, nietypowe obciążenie procesora lub sieci, blokowanie narzędzi ochronnych, przekierowania w przeglądarce, nieznane zadania systemowe oraz powracające komunikaty o zagrożeniu. W czasie badania trzeba zachować ostrożność, aby nie nadpisać informacji potrzebnych do odtworzenia kolejności zdarzeń.

Warszawskie Pogotowie Komputerowe zajmuje się naprawą laptopów i komputerów stacjonarnych PC, w tym diagnostyką problemów z oprogramowaniem oraz skutków infekcji. Zakres czynności zależy od stanu urządzenia i wyników badania. Może obejmować sprawdzenie systemu, usunięcie wykrytych komponentów, kontrolę mechanizmów autostartu oraz ocenę, czy dalsza praca na obecnej instalacji jest uzasadniona. Przed rozpoczęciem działań warto wskazać ostatnie podejrzane pliki, komunikaty ochrony i nietypowe zachowania, ponieważ przy infekcji wieloetapowej pojedynczy objaw może być tylko pierwszym elementem większego łańcucha.