phishing z malware

Phishing z malware łączy wyłudzenie danych z dostarczeniem szkodliwego załącznika.

Dwa ataki w jednej wiadomości

Odmiana ta łączy klasyczne wyłudzenie danych z dostarczeniem szkodliwego oprogramowania. Wiadomość podszywa się pod znanego nadawcę i prowadzi do fałszywej strony logowania, a jednocześnie zawiera załącznik albo odsyłacz do pliku, którego otwarcie instaluje kod w systemie. Napastnik zyskuje wtedy zarówno hasło, jak i stały dostęp do maszyny - jedno bez drugiego wystarcza do szkody, razem dają możliwość poruszania się po sieci firmowej długo po pierwszym kliknięciu.

Anatomia typowej kampanii wymierzonej w firmy

Scenariusze powtarzają się w rozpoznawalnych wariantach. Rzekome potwierdzenie przelewu z załączonym archiwum chronionym hasłem, przy czym hasło podane jest w treści listu, żeby bramka pocztowa nie mogła zajrzeć do środka. Wiadomość od kontrahenta z prośbą o pilną korektę faktury, wysłana z przejętej skrzynki i wpięta w prawdziwy wątek korespondencji - to najgroźniejszy wariant, bo nadawca, temat i historia rozmowy są autentyczne. Powiadomienie o nieodebranej przesyłce z odsyłaczem do strony, która najpierw prosi o dane karty, a potem oferuje pobranie rzekomego formularza. Wersja skierowana do księgowości podszywa się pod urząd i wykorzystuje presję terminu. Cechą wspólną jest wywołanie pośpiechu i strachu przed konsekwencjami, bo pod presją nikt nie sprawdza domeny nadawcy.

Dlaczego pojedyncze zabezpieczenie nie wystarcza

Filtr antyspamowy zatrzymuje masowe wysyłki, ale kampania kierowana do kilku osób w jednej firmie przechodzi przez niego bez trudu. Program antywirusowy rozpoznaje znane próbki, jednak ładunek jest zwykle przepakowywany dla każdej kampanii. Weryfikacja dwuetapowa chroni konto przed wykradzionym hasłem, o ile atakujący nie przejął już samej stacji roboczej. Uwierzytelnienie nadawcy przez SPF, DKIM i DMARC odsiewa podszywanie się pod domenę, ale nie pomoże, gdy list przychodzi z prawdziwej, choć przejętej skrzynki partnera handlowego. Skuteczna obrona składa się z warstw i z jednej zasady organizacyjnej: żadna zmiana numeru konta bankowego nie jest potwierdzana mailem, tylko telefonicznie pod znanym wcześniej numerem.

Po kliknięciu liczy się kolejność ruchów

Przyjmujemy takie zgłoszenia całą dobę, bo między otwarciem załącznika a zaszyfrowaniem zasobów sieciowych mijają czasem minuty. Odcinamy stację od sieci, zabezpieczamy obraz dysku, ustalamy zasięg infekcji i sprawdzamy, czy nie objęła serwera z bazą danych oraz kopii zapasowych trzymanych na tym samym udziale. Równolegle zmieniamy hasła z czystego urządzenia i przeglądamy reguły przekierowania poczty, bo napastnicy zakładają je jako pierwsze, żeby czytać korespondencję po odzyskaniu konta przez właściciela.