otwarcie złośliwego załącznika

Otwarcie złośliwego załącznika uruchamia szkodliwy kod, zwykle po zaakceptowaniu ostrzeżenia o makrach.

Co dzieje się po otwarciu złośliwego załącznika

Otwarcie złośliwego załącznika może doprowadzić do uruchomienia kodu zawartego w pliku albo do wykonania dodatkowych czynności przez użytkownika. Samo wyświetlenie wiadomości nie zawsze oznacza infekcję, ponieważ wiele współczesnych programów pocztowych i biurowych otwiera dokumenty w trybie ograniczonym. Ryzyko pojawia się wtedy, gdy załącznik wykorzystuje podatność programu, zawiera aktywną zawartość lub nakłania odbiorcę do kliknięcia przycisku, włączenia makr, uruchomienia skryptu albo rozpakowania kolejnego pliku.

Częstym przykładem jest dokument pakietu Microsoft Office zawierający makra VBA. Dokument pobrany z Internetu lub otrzymany z poczty może zostać oznaczony jako pochodzący z niezaufanego źródła, a program wyświetla ostrzeżenie i blokuje makra. Kliknięcie przycisku zezwalającego na ich uruchomienie może spowodować wykonanie instrukcji zapisanych w dokumencie. Makro może między innymi uruchomić proces systemowy, pobrać plik z adresu internetowego, zmienić ustawienia programu lub przekazać napastnikowi informacje o środowisku.

Techniki ukrywania niebezpiecznej zawartości

Napastnicy wykorzystują nazwy plików, które mają wzbudzić zaufanie albo ukryć rzeczywisty typ załącznika. Przykładem może być plik o nazwie „faktura.pdf.exe”, jeśli system ukrywa rozszerzenia znanych typów plików. Ryzyko dotyczy także archiwów ZIP i RAR, dokumentów z osadzonymi obiektami, plików skrótów systemu Windows oraz dokumentów HTML przekierowujących do fałszywej strony logowania. Samo rozszerzenie nie daje pełnej pewności, dlatego istotne jest źródło wiadomości, jej treść oraz sposób dostarczenia pliku.

Złośliwy załącznik może również wykorzystywać lukę w czytniku PDF, przeglądarce dokumentów lub innym programie obsługującym określony format. Skuteczność takiego ataku zależy od konkretnej podatności, wersji aplikacji i poziomu aktualizacji systemu. Z tego powodu aktualizacje zabezpieczeń Windows, programów biurowych, czytników PDF i przeglądarek ograniczają część znanych metod infekcji, ale nie zastępują ostrożności. Dokument może być niebezpieczny także wtedy, gdy program nie zgłasza błędu, ponieważ szkodliwa funkcja może wymagać świadomego działania odbiorcy.

Objawy i bezpieczne postępowanie po uruchomieniu pliku

Po otwarciu podejrzanego załącznika należy zwrócić uwagę na nietypowe zachowanie komputera: nagłe uruchomienie okna wiersza poleceń, pojawienie się procesów bez związku z wykonywanym zadaniem, zmianę strony startowej przeglądarki, nowe rozszerzenia, komunikaty o szyfrowaniu plików, masowe zmiany nazw dokumentów albo nieoczekiwane żądania logowania. Objawy mogą być opóźnione, a ich brak nie potwierdza, że plik był bezpieczny. Niektóre programy złośliwe wykonują działanie dopiero po ponownym uruchomieniu systemu lub po nawiązaniu połączenia z serwerem sterującym.

Jeżeli użytkownik uruchomił podejrzany załącznik, powinien przerwać dalszą pracę z plikiem, nie włączać makr i nie wpisywać haseł w okna otwarte przez dokument. W przypadku podejrzenia aktywnej infekcji warto odłączyć komputer od sieci, aby ograniczyć komunikację programu z Internetem i dostęp do zasobów współdzielonych. Następnie należy wykonać skanowanie aktualnym oprogramowaniem ochronnym, sprawdzić autostart systemu i przeanalizować ostatnio utworzone pliki oraz procesy. Jeżeli na komputerze były używane hasła, po oczyszczeniu urządzenia należy zmienić je z innego, zaufanego urządzenia, w pierwszej kolejności dla poczty i kont z dostępem do ważnych danych.

Sprawdzenie laptopa lub komputera po incydencie

Diagnostyka po otwarciu złośliwego załącznika powinna obejmować nie tylko pojedynczy plik, lecz także skutki jego działania. Należy sprawdzić historię pobierania, katalogi tymczasowe, zadania zaplanowane, wpisy autostartu, reguły zapory oraz nietypowe połączenia sieciowe. Ważne jest również ustalenie, czy dokument został otwarty na innych komputerach albo przesłany dalej, ponieważ infekcja może rozprzestrzeniać się przez współdzielone foldery, komunikatory i kolejne wiadomości pocztowe. W razie szyfrowania plików nie należy usuwać ich pochopnie, ponieważ mogą być potrzebne do identyfikacji rodzaju ataku i oceny możliwości odzyskania danych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w przypadku podejrzenia infekcji może rozpocząć od sprawdzenia stanu systemu, programów startowych, aktualizacji oraz dostępności kopii zapasowych. Po usunięciu zagrożenia warto przywrócić prawidłowe ustawienia aplikacji, zaktualizować system, zweryfikować działanie ochrony antywirusowej i ustalić, czy pliki użytkownika nie zostały zmodyfikowane. Szczególnej uwagi wymagają dokumenty pobrane z wiadomości, które wywoływały ostrzeżenia, żądały włączenia makr lub kierowały do logowania poza oficjalną stroną usługi.