Proxy dodane przez malware

Proxy dodane przez malware wskazuje na złośliwe oprogramowanie przekierowujące ruch przeglądarki przez własny serwer pośredniczący — wymaga pełnego skanowania.

Proxy dodane przez malware — czym jest i co oznacza

Proxy dodane przez malware to zmiana konfiguracji systemu lub przeglądarki, która powoduje kierowanie ruchu internetowego przez określony serwer pośredniczący bez świadomej zgody użytkownika. Takie ustawienie może zostać zapisane w systemowych opcjach sieci, w profilu przeglądarki, w zasadach automatycznej konfiguracji albo w mechanizmach uruchamianych razem z systemem. W efekcie połączenia z witrynami nie odbywają się bezpośrednio z komputera do serwera docelowego, lecz przechodzą przez infrastrukturę wskazaną przez złośliwy program.

Samo korzystanie z proxy nie jest czymś podejrzanym. Serwery pośredniczące bywają wykorzystywane w firmowych sieciach, przy filtrowaniu dostępu do internetu, kontroli ruchu lub optymalizacji połączeń. Problem pojawia się wtedy, gdy adres proxy został dodany samoczynnie, ustawienie powraca po ręcznym usunięciu albo dotyczy komputera, na którym wcześniej nie stosowano takiej konfiguracji. Może to wskazywać na obecność adware, trojana, programu przechwytującego dane lub innego niepożądanego komponentu.

Nie każda zmiana strony startowej lub przekierowanie wyszukiwarki oznacza dokładnie ten sam mechanizm. Malware może modyfikować także plik hosts, serwery DNS, rozszerzenia przeglądarki, certyfikaty zaufania i reguły zapory. Z tego powodu objaw „przeglądarka działa przez proxy” powinien być traktowany jako sygnał do szerszej kontroli systemu, a nie wyłącznie jako pojedyncza usterka ustawień internetowych.

Jak działa złośliwe proxy i czym różni się od prawidłowej konfiguracji

W prawidłowo skonfigurowanej sieci adres serwera proxy wynika z konkretnej potrzeby i jest możliwy do powiązania z administracją sieci, dostawcą usługi albo używanym oprogramowaniem. Ustawienie jest zwykle opisane, dostęp do niego jest kontrolowany, a jego obecność nie powoduje przypadkowych przekierowań. Przy konfiguracji narzuconej przez malware adres może być nieznany, zapisany w kilku miejscach jednocześnie lub chroniony przed zmianą przez dodatkowy proces działający w tle.

Pośrednik kontrolowany przez złośliwe oprogramowanie może analizować odwiedzane domeny, zmieniać odpowiedzi serwerów, podmieniać reklamy, przekierowywać na fałszywe strony logowania albo blokować wybrane witryny. W pewnych przypadkach próbuje również przechwytywać dane przesyłane przez nieszyfrowane połączenia. Szyfrowanie HTTPS ogranicza możliwość odczytu treści prawidłowo zabezpieczonej sesji, ale nie eliminuje wszystkich zagrożeń. Jeżeli system zaakceptował nieznany certyfikat główny, złośliwy komponent może próbować ingerować również w część połączeń szyfrowanych.

Weryfikacja powinna obejmować co najmniej ustawienia proxy systemu, konfigurację używanej przeglądarki, rozszerzenia, programy uruchamiane wraz z systemem, zadania harmonogramu, usługi, wpisy autostartu oraz stan ochrony antywirusowej. Warto sprawdzić także DNS i plik hosts, ponieważ malware może pozostawić kilka niezależnych mechanizmów przekierowania. Usunięcie pojedynczego adresu proxy bez znalezienia programu, który go przywraca, często daje tylko krótkotrwały efekt.

Typowe objawy i błędy popełniane przy usuwaniu

Obecność niepożądanego proxy może objawiać się wolniejszym otwieraniem stron, losowymi przekierowaniami, wyświetlaniem nietypowych reklam, komunikatami o błędach certyfikatu, niedostępnością aktualizacji lub problemami z logowaniem. Czasem internet działa tylko w jednej przeglądarce, a w innych programach pojawiają się błędy połączenia. Możliwe jest również cykliczne włączanie proxy po restarcie, mimo że opcja została wcześniej wyłączona.

Do częstych błędów należy ograniczenie działań do wyczyszczenia historii przeglądania. Historia, pliki cookie i pamięć podręczna mogą zostać usunięte, lecz nie usuwają procesu, usługi ani wpisu konfiguracji, który ponownie włącza proxy. Niewystarczające bywa także odinstalowanie ostatnio pobranego programu bez sprawdzenia jego pozostałości. Złośliwy komponent może pozostawić rozszerzenie, zadanie harmonogramu, wpis autostartu lub regułę sieciową.

Przed rozpoczęciem naprawy zalecane jest odłączenie komputera od niezaufanej sieci, przerwanie podejrzanych sesji logowania i skorzystanie z innego, zaufanego urządzenia do zmiany najważniejszych haseł, szczególnie gdy mogło dojść do przekierowywania na fałszywe formularze. Nie powinno się instalować przypadkowych „czyścicieli” pobranych z reklam ani zatwierdzać nieznanych certyfikatów. W przypadku infekcji utrzymującej się po skanowaniu potrzebna może być analiza logów, kontrola uruchamianych procesów i sprawdzenie systemu z niezależnego środowiska.

Jeżeli po usunięciu proxy pojawiają się dalsze przekierowania, znikają ustawienia zabezpieczeń, występują nieznane połączenia sieciowe albo komputer zaczyna samoczynnie instalować komponenty, należy założyć, że problem jest szerszy niż zmieniona opcja przeglądarki. W takiej sytuacji warto zabezpieczyć ważne dokumenty, nie kopiować podejrzanych plików wykonywalnych i rozważyć pełne oczyszczenie systemu lub jego ponowną instalację po wcześniejszym potwierdzeniu, że kopia danych jest bezpieczna.

Kiedy warto zgłosić proxy dodane przez malware do serwisu

Zgłoszenie do serwisu jest uzasadnione, gdy proxy powraca po restarcie, nie można go wyłączyć, ochrona systemu zgłasza kolejne zagrożenia albo nie da się ustalić, który program modyfikuje ustawienia. Pomoc techniczna jest również wskazana wtedy, gdy komputer służy do bankowości, obsługi poczty lub pracy z dokumentami zawierającymi dane wrażliwe. Ocenie powinny podlegać nie tylko ustawienia przeglądarki, ale też źródło infekcji, zakres zmian w systemie i ryzyko naruszenia danych.

W Warszawie takie przypadki można przekazać do serwisu Warszawskie Pogotowie Komputerowe 24/7, gdzie analizie może zostać poddany zarówno laptop, jak i komputer stacjonarny. W ramach zgłoszenia warto opisać moment pojawienia się problemu, nietypowe komunikaty, ostatnio instalowane programy oraz to, czy adres proxy wraca po ponownym uruchomieniu. Takie informacje ułatwiają odróżnienie zwykłej konfiguracji sieci od pozostałości po malware i pomagają dobrać zakres dalszej diagnostyki.

Do czasu sprawdzenia urządzenia nie należy logować się z niego do najważniejszych usług, ignorować ostrzeżeń certyfikatów ani przywracać nieznanych rozszerzeń przeglądarki. Po oczyszczeniu systemu wskazane jest zaktualizowanie oprogramowania, włączenie ochrony w czasie rzeczywistym, usunięcie niepotrzebnych kont z uprawnieniami administracyjnymi i ponowne sprawdzenie ustawień proxy. Jeżeli podejrzana konfiguracja była elementem większej infekcji, sama zmiana adresu serwera pośredniczącego nie zapewni pełnego bezpieczeństwa.