Malware zmienia domyślną powłokę

Malware zmieniające domyślną powłokę systemową to technika utrzymania trwałości złośliwego oprogramowania — wymaga pełnego skanowania i przywrócenia wartości rejestru Shell.

Malware zmienia domyślną powłokę — na czym polega to zagrożenie

Domyślna powłoka systemowa jest elementem uruchamianym po zalogowaniu użytkownika i odpowiada za udostępnienie podstawowego środowiska pracy, takiego jak pulpit, pasek zadań, menu Start oraz obsługa okien. W typowej konfiguracji systemu Windows funkcję tę pełni proces odpowiedzialny za graficzny interfejs użytkownika. Jeżeli złośliwe oprogramowanie zmieni ustawienie wskazujące ten proces, po zalogowaniu może zostać uruchomiony inny program, skrypt albo dodatkowy parametr polecenia.

Takie działanie może służyć utrzymaniu obecności malware po ponownym uruchomieniu komputera. Zmiana nie musi od razu powodować całkowitego zablokowania pulpitu. Czasem widoczne są jedynie nietypowe okna, przekierowania, opóźnienia lub samoczynne uruchamianie aplikacji. W innych przypadkach zamiast normalnego interfejsu pojawia się pusty ekran, konsola, komunikat oszusta albo program pobierający kolejne składniki infekcji.

Mechanizm należy odróżnić od zwykłej zmiany programu otwierającego określony typ pliku. Dotyczy on procesu uruchamianego w ramach sesji użytkownika, dlatego może wpływać na cały przebieg logowania i działanie podstawowych funkcji systemu. Samo usunięcie widocznego pliku szkodnika nie zawsze wystarcza, ponieważ zmieniona konfiguracja może nadal próbować uruchamiać nieistniejącą ścieżkę lub inny komponent pozostawiony w systemie.

Jak zmiana powłoki wygląda na tle innych mechanizmów startowych

System Windows korzysta z wielu miejsc, które mogą powodować uruchamianie programów: autostartu użytkownika, zadań harmonogramu, usług, sterowników, wpisów rejestru oraz zasad systemowych. Modyfikacja domyślnej powłoki wyróżnia się tym, że jest powiązana z momentem logowania i podstawowym środowiskiem użytkownika. Z tego powodu objawy mogą pojawić się jeszcze przed uruchomieniem większości aplikacji używanych na co dzień.

W przypadku zwykłego programu dodanego do autostartu pulpit zazwyczaj ładuje się prawidłowo, a podejrzany proces działa w tle lub otwiera własne okno. Przy podmienionej powłoce program przejmuje rolę elementu, który powinien przygotować interfejs użytkownika. Może wtedy wyświetlać własną zawartość, uruchamiać kolejne polecenia, blokować dostęp do narzędzi administracyjnych albo przekazywać sterowanie właściwej powłoce z opóźnieniem.

Do oceny sytuacji powinno się wykorzystać kilka źródeł informacji: historię skanowania, dzienniki systemowe, listę ostatnio zmienianych plików, konfigurację kont użytkowników oraz lokalizacje uruchamiania programów. Należy sprawdzić nie tylko samą wartość odpowiedzialną za powłokę, lecz także jej typ danych, dodatkowe argumenty i uprawnienia do modyfikacji. Istotne jest również ustalenie, czy ta sama zmiana nie została wykonana w profilu kilku użytkowników.

Przywrócenie prawidłowej wartości może usunąć jeden z objawów, ale nie powinno być traktowane jako pełne czyszczenie komputera. Jeżeli malware pozostawiło zadanie, usługę, bibliotekę lub program w katalogu użytkownika, infekcja może ponownie zmienić ustawienia przy kolejnym logowaniu. Bezpieczniejsze jest połączenie analizy konfiguracji z kontrolą procesów, skanowaniem offline i sprawdzeniem integralności systemu.

Typowe objawy, błędy diagnostyczne i możliwe skutki

Zmiana domyślnej powłoki może dawać różne symptomy, zależnie od tego, co zostało wpisane w miejsce prawidłowego programu. Do często spotykanych oznak należą:

• brak pulpitu lub paska zadań po zalogowaniu;
• uruchamianie nieznanego programu zamiast standardowego interfejsu;
• pojawianie się okna wiersza polecenia, skryptu albo komunikatu żądającego płatności;
• samoczynne otwieranie stron internetowych lub aplikacji;
• powracanie problemu po restarcie mimo ręcznego zamknięcia podejrzanego procesu;
• problemy z uruchomieniem Menedżera zadań, Eksploratora plików albo narzędzi bezpieczeństwa;
• nietypowe obciążenie procesora, pamięci lub dysku zaraz po zalogowaniu.

Błędem jest ograniczenie się do usunięcia pliku wskazanego przez pierwszy alert programu ochronnego. Nazwa pliku może być zmieniona, a wpis uruchamiający może wskazywać inną lokalizację. Nie powinno się także bez sprawdzenia kasować całej zawartości odpowiednich kluczy rejestru. Może to uszkodzić konfigurację wielu użytkowników lub usunąć prawidłowe ustawienia systemowe.

Przed rozpoczęciem naprawy warto odłączyć komputer od sieci, jeżeli istnieje podejrzenie aktywnej komunikacji z serwerem sterującym albo pobierania kolejnych składników. Należy zabezpieczyć ważne dokumenty, jednak nie powinno się bezrefleksyjnie kopiować plików wykonywalnych, skryptów ani nieznanych archiwów. W razie podejrzenia kradzieży danych zalecana jest zmiana haseł z innego, zaufanego urządzenia, szczególnie gdy na zainfekowanym komputerze używano poczty, bankowości lub kont firmowych.

Jeżeli interfejs nie uruchamia się prawidłowo, analizę można prowadzić z poziomu trybu awaryjnego, środowiska odzyskiwania albo zewnętrznego nośnika diagnostycznego. Po usunięciu zagrożenia trzeba ponownie sprawdzić konfigurację logowania, uruchamianie systemu i działanie ochrony. Warto też zweryfikować, czy nie zostały utworzone nowe konta, nie zmieniono zasad bezpieczeństwa i nie wyłączono aktualizacji.

Kiedy warto skorzystać z pomocy serwisu - Malware zmienia domyślną powłokę

Do serwisu warto zgłosić komputer wtedy, gdy po zalogowaniu nie pojawia się pulpit, zmiana powraca po restarcie, program ochronny wykrywa kolejne elementy albo nie ma pewności, czy system został rzeczywiście oczyszczony. Szczególnie uzasadniona jest pomoc techniczna, gdy komputer jest potrzebny do pracy, przechowuje ważne dane lub po infekcji zaczęły występować dodatkowe awarie, takie jak samoczynne restarty, blokowanie narzędzi administracyjnych i utrata dostępu do plików.

W serwisie komputerowym można przeprowadzić kontrolę konfiguracji powłoki, sprawdzić mechanizmy automatycznego uruchamiania, wykonać skanowanie poza aktywną sesją oraz ocenić, czy system wymaga naprawy plików lub odtworzenia ustawień. Przed ingerencją powinno się ustalić zakres problemu i zabezpieczyć dane użytkownika. Jeżeli usunięcie infekcji nie daje pewności co do dalszego bezpieczeństwa, rozważane jest odtworzenie systemu z zaufanego źródła po wykonaniu kopii potrzebnych dokumentów.

W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, dzięki której można najpierw ustalić, czy objawy wynikają ze zmiany powłoki, innego mechanizmu autostartu, uszkodzenia systemu czy kilku problemów występujących jednocześnie. Do czasu zakończenia analizy nie powinno się uruchamiać podejrzanych plików, wyłączać ochrony ani przywracać przypadkowych kopii ustawień rejestru.