ransomware w e-mailu

Ransomware w e-mailu dociera zwykle jako załącznik z makrem lub odnośnik do zainfekowanego pliku.

Ransomware w e-mailu — czym jest zagrożenie

Ransomware w e-mailu to sposób rozpowszechniania złośliwego oprogramowania, którego celem jest zablokowanie dostępu do danych albo zaszyfrowanie plików. Wiadomość może wyglądać jak zwykła korespondencja związana z dostawą, rozliczeniem, rezerwacją, dokumentem kadrowym lub kontaktem z usługodawcą. Nadawca bywa nieznany, ale coraz częściej wykorzystywane są także adresy przejętych skrzynek, dzięki czemu treść wydaje się bardziej wiarygodna.

Atak zazwyczaj wymaga wykonania określonej czynności: otwarcia załącznika, włączenia zawartości dokumentu, kliknięcia odnośnika, zalogowania się na stronie albo uruchomienia pobranego pliku. Samo otrzymanie wiadomości nie musi oznaczać infekcji. Ryzyko pojawia się wtedy, gdy użytkownik pozwoli na uruchomienie kodu lub poda dane na stronie przygotowanej przez osobę atakującą. Po rozpoczęciu działania ransomware może przeszukiwać dyski, foldery sieciowe, podłączone nośniki oraz zsynchronizowane katalogi.

Skutkiem może być zmiana nazw plików, utrata dostępu do dokumentów, pojawienie się instrukcji płatności oraz próba wywarcia presji czasowej. W niektórych przypadkach dane są nie tylko szyfrowane, lecz także kopiowane przed zablokowaniem, a następnie wykorzystywane do szantażu. Z tego powodu problem dotyczy zarówno dostępności informacji, jak i ich poufności.

Ransomware w e-mailu na tle innych wiadomości i ataków

Nie każda podejrzana wiadomość zawiera ransomware. Część kampanii służy wyłudzeniu hasła, numeru karty, kodu jednorazowego albo danych potrzebnych do przejęcia konta. Taki schemat określa się jako phishing. W innym wariancie wiadomość nakłania do pilnego wykonania przelewu lub zmiany rachunku kontrahenta. Ransomware może pojawić się dopiero na dalszym etapie, na przykład po przejęciu skrzynki albo po pobraniu programu z fałszywej strony.

Warto odróżniać zwykły załącznik od pliku, który ma uruchamiać dodatkowe elementy. Dokument tekstowy lub arkusz kalkulacyjny może zawierać makra, skrypty albo odnośniki do zewnętrznych zasobów. Plik archiwum może ukrywać wykonywalny program pod nazwą sugerującą fakturę, skan lub potwierdzenie. Obraz, dokument PDF czy formularz również może prowadzić do strony żądającej logowania, choć sam format nie przesądza o bezpieczeństwie.

Istotna jest także różnica między szyfrowaniem pojedynczego pliku przez legalny program a działaniem ransomware. Legalne szyfrowanie jest uruchamiane świadomie i pozwala odzyskać dane przy użyciu znanego klucza. Złośliwy proces działa bez zgody, obejmuje wiele lokalizacji i zwykle pozostawia komunikat żądający kontaktu lub zapłaty. Sama obecność takiego komunikatu nie jest jednak dowodem, że odzyskanie danych jest niemożliwe.

W środowisku domowym zagrożone są przede wszystkim zdjęcia, dokumenty, projekty i pliki przechowywane na dysku zewnętrznym. W małej firmie konsekwencje mogą obejmować również wspólne katalogi, dokumentację księgową i dane synchronizowane między urządzeniami. Zakres szkód zależy od uprawnień konta, sposobu wykonania kopii zapasowych oraz tego, czy nośnik z kopią był stale podłączony.

Ransomware w e-mailu — typowe objawy infekcji

Pierwsze oznaki nie zawsze są jednoznaczne. Komputer może działać wolniej, a wentylator może pracować intensywniej podczas pozornie prostych czynności. Pojawia się wiele błędów dostępu do plików, programy przestają otwierać dokumenty, a nazwy plików zostają zmienione przez dodanie nietypowego rozszerzenia. Czasem foldery zawierają pliki z instrukcją dalszego postępowania, a tapeta pulpitu zostaje zastąpiona komunikatem.

Niepokój powinien wzbudzić także nagły brak dostępu do kilku różnych katalogów, zmiana zawartości plików, wylogowanie z usług internetowych lub powiadomienia o nietypowym logowaniu. W przypadku ataku na kilka urządzeń w krótkim czasie można zauważyć podobne nazwy zmienionych plików albo identyczne komunikaty na wielu komputerach. Należy zachować ostrożność również wtedy, gdy wiadomość wygląda jak wewnętrzna korespondencja, lecz styl, adres nadawcy lub sposób zwracania się do odbiorcy różni się od wcześniejszych wiadomości.

Trzeba pamiętać, że brak widocznych objawów nie wyklucza problemu. Złośliwe oprogramowanie może najpierw próbować wykraść dane, rozpoznać strukturę folderów albo uzyskać dostęp do kolejnych kont. Z tego względu analiza powinna obejmować nie tylko komputer, na którym otwarto wiadomość, ale również inne urządzenia korzystające z tych samych kont, nośników i katalogów.

Ransomware w e-mailu — praktyczne wskazówki ochrony

• Nie należy otwierać załącznika tylko dlatego, że jego nazwa sugeruje fakturę, przesyłkę lub dokument urzędowy. W razie wątpliwości można skontaktować się z nadawcą innym kanałem, korzystając z wcześniej znanego numeru lub adresu.
• Nie powinno się włączać makr, zawartości aktywnej ani innych funkcji dokumentu na prośbę zawartą w wiadomości. Zwykłe wyświetlenie tekstu dokumentu nie wymaga zazwyczaj takiego zezwolenia.
• Odnośnik należy sprawdzić przed kliknięciem. Literówki w domenie, nietypowe skrócone adresy, przekierowania i żądanie ponownego logowania powinny skłaniać do zamknięcia strony.
• Kopie zapasowe powinny być wykonywane regularnie i przechowywane w sposób ograniczający możliwość ich zmiany przez zainfekowany komputer. Przydatne jest okresowe sprawdzenie, czy z kopii rzeczywiście można odtworzyć wybrane pliki.
• System, przeglądarka, program pocztowy i aplikacje używane do pracy z dokumentami powinny być aktualizowane. Konta warto zabezpieczać unikalnymi hasłami oraz dodatkowym składnikiem logowania, jeśli jest dostępny.
• Uprawnienia do folderów powinny odpowiadać rzeczywistym potrzebom. Ograniczenie dostępu do wspólnych lokalizacji może zmniejszyć zakres szyfrowania po uruchomieniu złośliwego programu.
• Wiadomości podejrzane należy zgłaszać według przyjętej procedury, zamiast przekazywać je dalej. Jeśli konieczne jest zachowanie dowodu, lepiej nie usuwać wiadomości ani załącznika bez konsultacji.

Jeżeli plik został otwarty, należy przerwać pracę na urządzeniu i odłączyć je od sieci, o ile nie zakłóci to ważnych czynności. Nie powinno się samodzielnie kasować komunikatu, zmieniać nazw plików ani uruchamiać przypadkowych programów obiecujących odzyskanie danych. Warto zapisać informacje o czasie otwarcia wiadomości, nazwie załącznika, adresie nadawcy i zauważonych zmianach. Takie dane ułatwiają późniejszą analizę.

Kiedy zgłosić ransomware w e-mailu do serwisu

Do serwisu warto zgłosić się wtedy, gdy otwarto podejrzany załącznik, uruchomiono pobrany program, podano hasło na nietypowej stronie albo zauważono zmianę nazw i zawartości plików. Pomocy wymaga również sytuacja, w której nie wiadomo, czy wiadomość była bezpieczna, a komputer zaczyna zachowywać się inaczej niż wcześniej. Im szybciej zostanie ograniczona komunikacja urządzenia z innymi zasobami, tym łatwiej ustalić zakres zdarzenia.

W ramach analizy można sprawdzić stan systemu, aktywne procesy, elementy uruchamiane wraz z systemem, dostępne kopie danych oraz oznaki zmian w plikach. Należy oddzielić działania dotyczące usunięcia złośliwego programu od prób odzyskania dokumentów. Przed naprawą warto ustalić, czy potrzebne będzie zabezpieczenie nośnika do dalszej analizy oraz czy istnieje działająca kopia zapasowa.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się oceną takich przypadków oraz uporządkowaniem dalszych działań po podejrzeniu infekcji ransomware w e-mailu. Do serwisu można przekazać opis wiadomości, zdjęcia komunikatów i informacje o tym, jakie pliki zostały otwarte. Nie należy przekazywać haseł w treści wiadomości ani wykonywać poleceń zawartych w komunikacie żądającym zapłaty. Najważniejsze pozostaje zabezpieczenie urządzenia, zachowanie dostępnych dowodów i ustalenie bezpiecznej drogi odzyskania danych.