oprogramowanie szpiegujące

Oprogramowanie szpiegujące to program potajemnie zbierający informacje o użytkowniku i przesyłający je atakującemu.

Jak działa oprogramowanie szpiegujące

Oprogramowanie szpiegujące, czyli spyware, działa w sposób ukryty i służy do obserwowania aktywności użytkownika albo pozyskiwania informacji z urządzenia. Po uruchomieniu może zapisywać odwiedzane strony, przechwytywać dane wpisywane z klawiatury, odczytywać listę zainstalowanych programów, zbierać informacje o plikach lub przekazywać dane dotyczące konfiguracji systemu. Nie każdy program szpiegujący wykorzystuje wszystkie te mechanizmy. Zakres działania zależy od jego budowy, uprawnień uzyskanych w systemie oraz celu osoby, która go rozpowszechniła.

Spyware może działać jako zwykły proces użytkownika, usługa systemowa, rozszerzenie przeglądarki, zadanie harmonogramu zadań albo element uruchamiany razem z systemem. Część takich programów próbuje ukryć swoją nazwę, lokalizację pliku lub aktywność sieciową. Sam fakt pojawienia się nieznanego procesu nie jest jednak dowodem infekcji. Wiele prawidłowych składników systemu i aplikacji korzysta z podobnych mechanizmów uruchamiania, dlatego identyfikacja wymaga sprawdzenia pliku, podpisu cyfrowego, ścieżki, powiązanych wpisów autostartu oraz połączeń sieciowych.

Drogi instalacji i zakres przechwytywanych informacji

Do instalacji oprogramowania szpiegującego może dojść po uruchomieniu załącznika, otwarciu spreparowanego dokumentu, zainstalowaniu programu z niepewnego źródła albo zaakceptowaniu dodatku do przeglądarki bez sprawdzenia jego uprawnień. Zagrożenie może być również dołączone do instalatora innej aplikacji. W takim przypadku użytkownik może nie zauważyć dodatkowego komponentu, zwłaszcza gdy instalacja przebiega w trybie automatycznym lub zawiera wiele ekranów z domyślnie zaznaczonymi opcjami.

Zakres zbieranych informacji bywa różny. Keylogger rejestruje naciśnięcia klawiszy, natomiast infostealer koncentruje się na danych przechowywanych przez przeglądarki i aplikacje, takich jak zapisane sesje, historia, konfiguracja programów czy pliki cookies. Inne odmiany mogą wykonywać zrzuty ekranu, monitorować schowek, odczytywać informacje o położeniu urządzenia albo pobierać dodatkowe moduły. Przekazywanie danych zwykle odbywa się przez połączenie sieciowe do serwera sterującego, ale sama obecność ruchu HTTPS nie wskazuje jeszcze na spyware, ponieważ szyfrowanie jest powszechnie używane także przez legalne usługi.

Objawy wymagające sprawdzenia systemu

Możliwymi sygnałami obecności spyware są nieoczekiwane rozszerzenia przeglądarki, zmiana strony startowej, nowe wpisy autostartu, reklamy pojawiające się poza odwiedzanymi stronami, spowolnienie uruchamiania systemu oraz nieuzasadnione użycie procesora, pamięci lub łącza internetowego. Objawy te nie są rozstrzygające, ponieważ podobne zachowanie może powodować wadliwa aktualizacja, konflikt sterowników, program reklamowy, niewystarczająca ilość wolnego miejsca albo uszkodzenie profilu użytkownika.

Diagnostyka powinna obejmować pełne skanowanie aktualnym programem ochronnym, przegląd aplikacji uruchamianych automatycznie, kontrolę rozszerzeń przeglądarek i analizę aktywnych procesów. Warto sprawdzić także lokalizację podejrzanych plików oraz ich podpisy cyfrowe, ponieważ nazwa procesu może zostać dobrana tak, aby przypominała składnik systemu. Przy podejrzeniu przechwytywania haseł nie należy wpisywać kolejnych danych logowania na potencjalnie zainfekowanym urządzeniu. Najpierw trzeba odłączyć komputer od sieci, zabezpieczyć potrzebne pliki z zachowaniem ostrożności, a następnie przeprowadzić analizę na podstawie wiarygodnych narzędzi.

Usunięcie spyware i przywrócenie bezpiecznej pracy

Usunięcie oprogramowania szpiegującego może wymagać zakończenia jego procesu, zablokowania wpisu autostartu, odinstalowania powiązanej aplikacji oraz usunięcia pozostałych plików. Nie zawsze wystarczy skasowanie jednego programu z listy aplikacji, ponieważ złośliwy komponent może odtwarzać się z zadania harmonogramu, usługi albo innego pliku uruchamianego przy starcie systemu. Po czyszczeniu należy ponownie wykonać skanowanie i sprawdzić, czy podejrzane procesy oraz połączenia sieciowe nie pojawiają się ponownie.

Jeżeli spyware miał dostęp do przeglądarki lub rejestrował znaki wpisywane z klawiatury, samo usunięcie pliku nie cofa przejęcia wcześniej zapisanych informacji. Hasła powinny być zmieniane z czystego urządzenia, z użyciem unikalnych danych dla poszczególnych usług, a aktywne sesje należy unieważnić tam, gdzie taka funkcja jest dostępna. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów stacjonarnych PC, w tym diagnostykę problemów związanych z niepożądanym oprogramowaniem oraz przywracaniem prawidłowego działania systemu.