ransomware phishingowy

Ransomware phishingowy to szkodliwe oprogramowanie szyfrujące dane, dostarczane przez wiadomość wyłudzającą.

Jak wiadomość phishingowa dostarcza ransomware

Ransomware phishingowy to złośliwe oprogramowanie typu ransomware, którego instalacja rozpoczyna się od wiadomości przygotowanej tak, aby skłonić odbiorcę do wykonania określonej czynności. Atakujący może wysłać wiadomość e-mail, komunikat w komunikatorze albo powiadomienie zawierające odsyłacz do fałszywej strony logowania, załącznik lub dokument z aktywną zawartością. Sama wiadomość nie musi zawierać programu szyfrującego. Często pełni funkcję pierwszego etapu, który prowadzi do pobrania pliku wykonywalnego, uruchomienia skryptu albo przejęcia danych uwierzytelniających.

Po uruchomieniu ransomware program może przeszukać dostępne lokalnie dyski i zasoby sieciowe, a następnie szyfrować pliki użytkownika. W zależności od konkretnej odmiany wykorzystywany jest szyfr symetryczny do szybkiego przetwarzania danych, a klucz może być dodatkowo zabezpieczony kryptografią asymetryczną. Skutkiem jest utrata dostępu do dokumentów, zdjęć, baz lokalnych i innych plików bez prawidłowego klucza deszyfrującego. Nie każda infekcja przebiega identycznie: część programów szyfruje wybrane rozszerzenia, inne obejmują większą liczbę katalogów, a niektóre próbują także usunąć kopie zapasowe dostępne z zainfekowanego komputera.

Elementy, które pozwalają rozpoznać próbę infekcji

Wiadomość phishingowa często wykorzystuje presję czasu, pozorną konieczność natychmiastowej zapłaty, informację o blokadzie konta lub rzekomą fakturę. Weryfikacji wymagają przede wszystkim adres nadawcy, domena odsyłacza, zgodność treści z rzeczywistą relacją z nadawcą oraz typ załącznika. Szczególnej ostrożności wymagają archiwa, pliki wykonywalne, dokumenty żądające włączenia makr oraz pliki, których rozszerzenie jest ukrywane przez ustawienia systemu lub podwójne rozszerzenie nazwy. Sam poprawny wygląd logo, stopki albo podpisu nie potwierdza autentyczności wiadomości.

Pierwszym sygnałem działania ransomware może być nagła zmiana nazw plików, pojawienie się nowych plików z instrukcją zapłaty, komunikaty o zaszyfrowaniu danych, nietypowe obciążenie procesora lub dysku oraz błędy podczas otwierania wcześniej poprawnych dokumentów. Czasem użytkownik zauważa także masowe modyfikacje plików w krótkim czasie. W takiej sytuacji nie należy otwierać kolejnych załączników ani uruchamiać podejrzanych narzędzi mających rzekomo naprawić system. Ważne jest odłączenie komputera od sieci przewodowej i bezprzewodowej, aby ograniczyć możliwość dalszego szyfrowania zasobów współdzielonych, przy jednoczesnym zachowaniu urządzenia do późniejszej analizy.

Odzyskiwanie danych po zaszyfrowaniu plików

Skuteczność odzyskiwania zależy od odmiany ransomware, zakresu uszkodzeń, stanu kopii zapasowych oraz tego, czy klucz deszyfrujący jest dostępny. Zapłata okupu nie stanowi technicznej gwarancji odzyskania danych, ponieważ przestępcy mogą nie dostarczyć działającego narzędzia, a sam proces negocjacji nie usuwa złośliwego oprogramowania z komputera. Nie należy też wielokrotnie uruchamiać zainfekowanego systemu bez potrzeby, ponieważ nowe procesy mogą kontynuować modyfikację plików.

Bezpieczna diagnostyka obejmuje identyfikację odmiany ransomware na podstawie komunikatu, rozszerzeń zmienionych plików i innych artefaktów, wykonanie kopii nośnika do analizy oraz sprawdzenie, czy istnieją niezależne kopie zapasowe. Przywracanie danych powinno odbywać się dopiero po usunięciu infekcji i zweryfikowaniu stanu systemu. Kopia podłączona stale do komputera może zostać zaszyfrowana razem z plikami roboczymi, dlatego większą wartość ma kopia odłączona, wersjonowana albo przechowywana w sposób ograniczający zapis z zainfekowanego urządzenia. W niektórych przypadkach dostępne są publiczne deszyfratory dla konkretnych rodzin ransomware, lecz narzędzie musi pasować do dokładnej odmiany programu, a nie tylko do ogólnego określenia „ransomware”.

Bezpieczna obsługa zainfekowanego laptopa lub PC

Po odłączeniu urządzenia od sieci należy zanotować, kiedy pojawiły się pierwsze objawy, jakie pliki zostały zmienione i z jakiego źródła pochodziła podejrzana wiadomość. Przydatne może być zachowanie oryginalnej wiadomości wraz z nagłówkami, bez przekazywania jej dalej w zwykły sposób. Hasła używane na zainfekowanym komputerze powinny zostać zmienione z innego, zaufanego urządzenia, zwłaszcza jeśli użytkownik otworzył fałszywą stronę logowania. Po zakończeniu analizy system należy zaktualizować, włączyć ochronę antywirusową oraz ograniczyć uruchamianie nieznanych załączników i skryptów.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym oceną stanu systemu po podejrzeniu infekcji ransomware, zabezpieczeniem nośnika oraz przygotowaniem komputera do ponownej instalacji i odtworzenia danych z dostępnej kopii zapasowej. W przypadku zaszyfrowanych plików ważne jest, aby przed formatowaniem ustalić, czy potrzebne są dalsze czynności diagnostyczne i czy istnieje możliwość odzyskania danych. Samo usunięcie komunikatu okupu nie oznacza usunięcia wszystkich składników infekcji, dlatego zakres prac powinien obejmować również kontrolę autostartu, kont użytkowników, zaplanowanych zadań i pozostałych elementów systemu.