odpowiedź z załącznikiem wirusa

Odpowiedź z załącznikiem wirusa to typowa technika ataku, w której szkodliwy plik pojawia się w toczącym się wątku.

Odpowiedź z załącznikiem wirusa w wątku wiadomości

Odpowiedź z załącznikiem wirusa to sposób dostarczenia złośliwego pliku w wiadomości, która wygląda jak dalszy ciąg prowadzonej korespondencji. Atakujący może wykorzystać przejęte konto pocztowe, skopiować temat wcześniejszej rozmowy albo odpowiedzieć na autentyczną wiadomość, aby załącznik wydawał się oczekiwanym dokumentem. Sama obecność wiadomości w istniejącym wątku nie potwierdza jej autentyczności. Liczy się rzeczywisty adres nadawcy, treść, nazwa pliku, rozszerzenie oraz zgodność załącznika z wcześniejszym kontekstem.

Złośliwy załącznik może zawierać plik wykonywalny, dokument z aktywnymi makrami, skrypt, skrót systemu Windows, archiwum albo plik wykorzystujący podatność nieaktualnego programu. Często stosuje się podwójne rozszerzenia, na przykład faktura.pdf.exe, ukrywanie znanych rozszerzeń w Eksploratorze plików oraz archiwa zabezpieczone hasłem. Hasło do archiwum może zostać podane w tej samej wiadomości, ponieważ utrudnia to automatycznej bramie pocztowej analizę zawartości. Nie każdy taki plik natychmiast uruchamia infekcję, ale otwarcie go bez weryfikacji zwiększa ryzyko wykonania kodu napastnika.

Dlaczego istniejący wątek nie jest dowodem bezpieczeństwa

Wątek pocztowy porządkuje wiadomości na podstawie między innymi tematu, identyfikatorów wiadomości i nagłówków odpowiedzi. Nie stanowi kryptograficznego potwierdzenia, że każda kolejna wiadomość pochodzi od tej samej osoby. Jeżeli konto nadawcy zostało przejęte, napastnik może odpowiadać z prawdziwego adresu i używać prawidłowego kontekstu rozmowy. Podobny efekt daje podszycie się pod adres lub domenę, zwłaszcza gdy użytkownik zwraca uwagę wyłącznie na wyświetlaną nazwę kontaktu.

Przed otwarciem załącznika warto porównać adres nadawcy z wcześniejszymi wiadomościami, sprawdzić, czy prośba o dokument wynika z rozmowy, oraz skontaktować się z nadawcą innym kanałem niż odpowiedź na podejrzaną wiadomość. Nie należy używać numeru telefonu ani linku podanego w potencjalnie złośliwej wiadomości. Podejrzane są nagłe zmiany rachunku bankowego, żądanie pilnego uruchomienia pliku, nietypowy język, nieoczekiwane archiwum oraz dokument, którego typ nie pasuje do treści rozmowy. Weryfikacja powinna obejmować także domenę po znaku „@”, ponieważ sama nazwa kontaktu może być dowolnie ustawiona.

Bezpieczna obsługa podejrzanego załącznika

Nie należy otwierać pliku tylko po to, aby sprawdzić, co zawiera. Bezpieczniejszym działaniem jest pozostawienie wiadomości bez uruchamiania załącznika, zgłoszenie jej jako phishingu w używanym programie pocztowym i usunięcie jej zgodnie z zasadami obowiązującymi na danym koncie. Program antywirusowy oraz filtr pocztowy mogą rozpoznać znane zagrożenie, ale brak ostrzeżenia nie jest gwarancją bezpieczeństwa. Nowy wariant złośliwego oprogramowania, zaszyfrowane archiwum albo plik wykorzystujący lukę może nie zostać wykryty przez automatyczną ochronę.

Jeżeli załącznik został uruchomiony, należy przerwać dalszą pracę z plikiem i zwrócić uwagę na objawy: niespodziewane okna, samoczynne uruchamianie programów, zmianę strony startowej, blokadę dokumentów, pojawienie się nowych rozszerzeń plików, nietypowe obciążenie procesora lub komunikaty żądające zapłaty. W miarę możliwości komputer powinien zostać odłączony od sieci, aby ograniczyć dalszą komunikację z infrastrukturą atakującego, ale bez pochopnego kasowania plików, logów lub podejrzanej wiadomości. W przypadku ważnych danych warto zachować kopię podejrzanego pliku i informacje o czasie otwarcia, nazwie wiadomości oraz wykonanych czynnościach, ponieważ mogą pomóc w ustaleniu przebiegu zdarzenia.

Objawy po otwarciu pliku i dalsza diagnostyka

Ocena komputera po otwarciu podejrzanego załącznika powinna obejmować skanowanie aktualnym oprogramowaniem ochronnym, przegląd ostatnio zainstalowanych programów, elementów uruchamianych wraz z systemem oraz nietypowych zmian w plikach użytkownika. Samo usunięcie wiadomości nie usuwa programu, który mógł zostać uruchomiony wcześniej. Należy również zmienić hasło do poczty z bezpiecznego urządzenia, jeżeli istnieje podejrzenie przejęcia danych logowania, i włączyć uwierzytelnianie wieloskładnikowe, jeśli dostawca poczty je obsługuje. Nie wolno jednak zakładać, że zmiana hasła rozwiązuje problem zainfekowanego systemu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku nietypowego działania komputera po otwarciu podejrzanego załącznika można zlecić ocenę stanu urządzenia oraz usunięcie usterek związanych z jego pracą. Diagnostyka powinna ustalić, czy problem dotyczy samego systemu, uruchamianych aplikacji, dysku lub innych elementów komputera. Przed przekazaniem urządzenia warto poinformować o nazwie załącznika, czasie jego otwarcia i zaobserwowanych objawach, bez dalszego uruchamiania pliku na własną rękę.