podatność na malware przez kampanię

Podatność na malware przez kampanię to możliwość rozesłania szkodliwych treści z przejętego konta platformy mailingowej.

Jak przejęte konto mailingowe tworzy podatność na malware

Podatność na malware przez kampanię oznacza sytuację, w której napastnik uzyskuje dostęp do konta używanego do wysyłania wiadomości i wykorzystuje je do rozesłania szkodliwych treści. Może to być konto platformy do newsletterów, systemu wysyłki powiadomień albo usługi obsługującej korespondencję do klientów. Samo przejęcie konta nie musi od razu oznaczać zainfekowania komputera. Zagrożenie pojawia się wtedy, gdy odbiorca zaufa wiadomości, otworzy załącznik, kliknie odnośnik lub uruchomi pobrany plik.

Wykorzystanie legalnej platformy mailingowej zwiększa wiarygodność kampanii. Wiadomość może pochodzić z prawidłowego adresu nadawcy, zawierać poprawne elementy graficzne i zostać dostarczona przez serwery, które zwykle nie budzą podejrzeń filtrów pocztowych. Napastnik może też użyć istniejącej listy odbiorców, przygotowanych szablonów oraz historii korespondencji. W efekcie odbiorca otrzymuje treść wyglądającą jak zwykła wiadomość firmowa, chociaż jej celem jest nakłonienie do wykonania niebezpiecznej czynności.

Mechanizmy dostarczenia szkodliwej treści

Kampania może prowadzić do malware na kilka sposobów. Odnośnik w wiadomości może kierować do strony podszywającej się pod panel logowania, dokument online lub formularz płatności. Po wpisaniu danych użytkownik przekazuje je napastnikowi, który może później wykorzystać konto do dalszej dystrybucji. Inny wariant polega na przekierowaniu do pliku instalacyjnego, archiwum albo dokumentu wykorzystującego makra lub inne aktywne elementy. Ryzyko zależy od rodzaju pliku, ustawień systemu i tego, jakie programy są zainstalowane na komputerze.

Nie każda wiadomość zawiera bezpośrednio złośliwy program. Czasami kampania służy najpierw do zebrania danych logowania, a dopiero później do przejęcia kolejnych kont lub uruchomienia instalacji malware. Szkodliwe oprogramowanie może rejestrować naciśnięcia klawiszy, kraść zapisane dane przeglądarki, modyfikować ustawienia systemowe albo pobierać następne komponenty. Zdarza się również, że wiadomość zawiera fałszywy dokument wymagający włączenia zawartości aktywnej. Takie żądanie jest sygnałem ostrzegawczym, zwłaszcza gdy dokument pochodzi z nieoczekiwanego źródła.

Ślady kampanii na komputerze odbiorcy

Po otwarciu szkodliwej wiadomości warto ustalić, jakie czynności rzeczywiście wykonano. Samo wyświetlenie tekstu wiadomości zwykle nie jest równoznaczne z uruchomieniem malware, natomiast kliknięcie odnośnika, pobranie załącznika, uruchomienie programu lub wpisanie hasła zmienia ocenę sytuacji. Istotne są również objawy pojawiające się później: nagłe spowolnienie komputera, nieznane procesy, nowe rozszerzenia przeglądarki, zmieniona strona startowa, samoczynne otwieranie kart, komunikaty o blokadzie plików albo nietypowa aktywność sieciowa.

Diagnostyka powinna obejmować historię pobierania, listę ostatnio uruchamianych plików, autostart systemu, zadania zaplanowane, zainstalowane programy i rozszerzenia przeglądarki. Należy porównać daty tych elementów z momentem odebrania wiadomości. Przydatne są także informacje z programu antywirusowego, zapora sieciowa oraz logi systemowe, o ile nie zostały usunięte. Jeżeli w wiadomości wpisano hasło, nie powinno się używać tego samego hasła bez zmiany, szczególnie na innych kontach. W przypadku podejrzenia aktywnego malware komputer należy odłączyć od sieci do czasu przeprowadzenia oceny, aby ograniczyć możliwość dalszej komunikacji z infrastrukturą napastnika.

Postępowanie po otwarciu podejrzanej wiadomości

Najpierw warto zachować wiadomość w oryginalnej postaci, w tym temat, adres nadawcy, odnośniki i załączniki, ale nie należy ponownie otwierać podejrzanych plików. Trzeba zanotować, czy doszło do kliknięcia, uruchomienia programu, włączenia makr lub podania danych logowania. Następnie należy wykonać pełne skanowanie aktualnym oprogramowaniem ochronnym i sprawdzić, czy system oraz używane aplikacje mają zainstalowane dostępne poprawki. Jeżeli występują objawy infekcji, samo usunięcie wiadomości nie rozwiązuje problemu, ponieważ malware mogło już zapisać pliki lub zmienić konfigurację systemu.

Warszawskie Pogotowie Komputerowe wykonuje naprawę laptopów i komputerów stacjonarnych PC, w tym diagnostykę problemów z oprogramowaniem ujawnionych po otwarciu podejrzanej wiadomości. Zakres prac powinien wynikać z ustalonej przyczyny: może obejmować sprawdzenie systemu, usunięcie niepożądanych składników, uporządkowanie autostartu, przywrócenie prawidłowych ustawień lub przygotowanie systemu do dalszego bezpiecznego używania. W razie podejrzenia przejęcia konta działania na samym komputerze warto połączyć ze zmianą haseł wykonanej z zaufanego urządzenia oraz włączeniem uwierzytelniania wieloskładnikowego, jeżeli dana platforma je udostępnia.