malware z opóźnionym startem

Malware z opóźnionym startem to złośliwy kod aktywujący się dopiero po pewnym czasie, by utrudnić powiązanie z przyczyną.

Mechanizm opóźnionej aktywacji złośliwego kodu

Malware z opóźnionym startem nie wykonuje wszystkich swoich działań natychmiast po uruchomieniu pliku. Kod może najpierw sprawdzić określony warunek, a dopiero później rozpocząć właściwe działanie. Warunkiem może być upływ czasu od pierwszego uruchomienia, ponowne uruchomienie systemu, określona data, liczba logowań użytkownika albo pojawienie się połączenia z internetem. Takie opóźnienie utrudnia powiązanie infekcji z plikiem pobranym kilka dni wcześniej.

Opóźniony start może dotyczyć zarówno całego programu, jak i pojedynczego modułu. Instalator może początkowo utworzyć mechanizm trwałego uruchamiania, natomiast moduł kradnący informacje lub pobierający kolejne pliki pozostaje nieaktywny do czasu spełnienia warunku. W efekcie komputer może przez pewien czas działać pozornie normalnie, mimo że w systemie znajduje się już komponent przygotowany do późniejszej aktywacji.

Warunki uruchomienia i mechanizmy trwałości w Windows

Na laptopie lub komputerze z systemem Windows złośliwy program może wykorzystać harmonogram zadań, wpisy autostartu rejestru, foldery startowe albo usługę systemową. Harmonogram zadań pozwala uruchamiać program o określonej godzinie, po zalogowaniu, po uruchomieniu systemu lub po wystąpieniu wskazanego zdarzenia. Wpisy Run i RunOnce w rejestrze są przeznaczone do uruchamiania programów przy logowaniu, dlatego ich obecność nie jest sama w sobie dowodem infekcji, ale nietypowa ścieżka pliku lub nieznany wydawca wymaga sprawdzenia.

Niektóre odmiany malware przechowują datę pierwszego uruchomienia w pliku, rejestrze albo lokalnej bazie danych, a następnie porównują ją z bieżącym czasem. Inne czekają na określoną liczbę restartów lub na aktywność użytkownika, na przykład otwarcie przeglądarki. Złośliwy kod może również pozostawać uśpiony do czasu uzyskania odpowiedzi z serwera sterującego. Brak natychmiastowego obciążenia procesora lub brak widocznego okna nie oznacza więc, że program jest nieszkodliwy.

Jak odróżnić opóźnioną infekcję od zwykłego programu startowego

Weryfikacja powinna obejmować źródło pliku, jego podpis cyfrowy, lokalizację, datę utworzenia oraz powiązane procesy. Szczególnej uwagi wymagają pliki uruchamiane z katalogów tymczasowych, profilu użytkownika lub nietypowych podkatalogów, jeżeli ich nazwa przypomina składnik systemu. Samo podobieństwo nazwy nie przesądza jednak o złośliwości. Ocena powinna uwzględniać także producenta, podpis, zależności programu i sposób, w jaki wpis autostartu został utworzony.

Przydatne jest porównanie osi czasu: pobrania załącznika lub instalatora, utworzenia zadania, pierwszego uruchomienia procesu oraz późniejszej komunikacji sieciowej. W Podglądzie zdarzeń Windows można sprawdzać zdarzenia związane z uruchamianiem zadań, usług i procesów, a w systemowych narzędziach autostartu przeanalizować miejsca, z których programy są uruchamiane. Skanowanie należy przeprowadzić aktualnym oprogramowaniem zabezpieczającym, najlepiej również po odłączeniu podejrzanego komputera od sieci, gdy istnieje ryzyko dalszego pobierania komponentów.

Diagnostyka komputera po podejrzeniu opóźnionej aktywacji

Jeżeli objawy pojawiły się dopiero po kilku dniach, warto zabezpieczyć informacje o czasie wystąpienia problemu i nie usuwać pochopnie wszystkich plików startowych. Nagłe kasowanie elementów może utrudnić odtworzenie sposobu uruchamiania malware. Diagnostyka powinna objąć zadania harmonogramu, wpisy rejestru, usługi, foldery autostartu, ostatnio zainstalowane programy oraz historię wykryć narzędzia zabezpieczającego. Należy również sprawdzić, czy po restarcie odtwarzają się te same procesy i czy podejrzany plik tworzy nowe elementy trwałości.

W przypadku komputera, na którym wykryto malware z opóźnionym startem, Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką oprogramowania oraz usuwaniem skutków infekcji. Zakres prac powinien wynikać z ustaleń diagnostycznych: czasem wystarczy usunięcie konkretnego mechanizmu autostartu, a czasem konieczne jest dokładniejsze sprawdzenie systemu, kont użytkowników, przeglądarek i pozostałych komponentów uruchamianych wraz z systemem.