rekursywne infekowanie

Rekursywne infekowanie to rozprzestrzenianie się szkodliwego oprogramowania z jednej skrzynki na kolejne, powiązane konta.

Mechanizm rekursywnego infekowania kont

Rekursywne infekowanie to określenie sytuacji, w której szkodliwe oprogramowanie lub osoba korzystająca z przejętego konta wykorzystuje jedną skrzynkę pocztową do dotarcia do kolejnych, powiązanych kont. Punktem wyjścia może być kradzież hasła, uruchomienie złośliwego załącznika, kliknięcie spreparowanego odnośnika albo zgoda udzielona fałszywej aplikacji na dostęp do poczty. Po uzyskaniu dostępu napastnik przegląda wiadomości, kontakty i historię korespondencji, a następnie wybiera następne cele.

Rekursywność polega na tym, że każde przejęte konto może stać się kolejnym źródłem ataku. Wiadomość wysłana z prawdziwej skrzynki często wygląda wiarygodniej niż masowy spam, ponieważ może zawierać właściwy podpis, język używany przez właściciela konta albo nawiązanie do istniejącej rozmowy. Odbiorca może więc otworzyć załącznik lub odwiedzić stronę logowania, a jego konto zostanie wykorzystane do dalszego rozsyłania wiadomości. Samo zjawisko nie oznacza jednak, że infekcja automatycznie przechodzi przez każdy kontakt; zwykle potrzebne jest wykonanie określonej czynności przez odbiorcę albo wykorzystanie wcześniej ujawnionych danych uwierzytelniających.

Łańcuch przejęcia: poczta, kontakty i zaufane wiadomości

Przebieg ataku może obejmować kilka niezależnych elementów. Złośliwy program na komputerze może odczytać zapisane dane logowania, token sesji lub zawartość lokalnego klienta pocztowego. Inną drogą jest phishing, czyli wiadomość nakłaniająca do wpisania hasła na stronie kontrolowanej przez napastnika. Jeżeli to samo hasło było używane w wielu usługach, dane z jednego wycieku mogą umożliwić logowanie do następnych kont. Takie używanie jednego hasła nie jest techniczną koniecznością rekursywnego infekowania, ale ułatwia rozwinięcie łańcucha.

Po przejęciu skrzynki sprawdzane są między innymi książka adresowa, foldery wysłanych wiadomości, korespondencja z fakturami oraz rozmowy zawierające linki do dokumentów. Napastnik może wysłać wiadomość do kontaktów, podszyć się pod uczestnika istniejącego wątku albo dodać regułę automatycznie przenoszącą nowe wiadomości do ukrytego folderu. Reguły pocztowe mogą również przekazywać kopie korespondencji na obcy adres. W takim przypadku właściciel konta może przez pewien czas nie widzieć ostrzeżeń, odpowiedzi odbiorców ani informacji o próbach odzyskania dostępu.

Nie każda wiadomość wysłana z przejętego konta zawiera klasycznego wirusa. Część kampanii wykorzystuje dokumenty z makrami, pliki wykonywalne, archiwa, skróty systemowe lub odnośniki do stron wyłudzających dane. Współczesne programy pocztowe i usługi webmail mogą blokować część niebezpiecznych typów załączników, lecz blokada nie rozwiązuje problemu przejętego hasła ani złośliwej reguły przekazywania poczty. Dlatego analizuje się zarówno urządzenie, jak i samo konto.

Objawy oraz rozdzielenie źródła problemu

Typowym sygnałem jest pojawienie się wiadomości w folderze „Wysłane”, których właściciel nie tworzył, albo skargi kontaktów na podejrzane załączniki i odnośniki. Inne oznaki to nieznane logowania, alerty o zmianie hasła, nowe reguły filtrowania, obce adresy odzyskiwania dostępu oraz wiadomości znikające krótko po odebraniu. Warto również sprawdzić, czy komunikaty o niedostarczeniu poczty pojawiają się po wysyłce, której użytkownik nie pamięta.

Objawy na komputerze mogą być mniej jednoznaczne. Nietypowe obciążenie procesora, samoczynne uruchamianie programów, przekierowania przeglądarki, wyłączanie ochrony systemowej albo nieznane rozszerzenia mogą wskazywać na złośliwe oprogramowanie, ale nie potwierdzają go samodzielnie. Źródłem problemu może być wyłącznie konto pocztowe, komputer, telefon albo zewnętrzna aplikacja mająca dostęp do skrzynki. Diagnostyka powinna więc rozdzielić przejęcie konta od infekcji urządzenia i ustalić, czy oba zdarzenia występują jednocześnie.

Bezpieczne postępowanie obejmuje zmianę hasła z niezainfekowanego urządzenia, zakończenie aktywnych sesji, usunięcie nieznanych metod odzyskiwania dostępu oraz odebranie uprawnień podejrzanym aplikacjom. Jeżeli usługa pocztowa obsługuje uwierzytelnianie wieloskładnikowe, należy je włączyć i zweryfikować zapisane urządzenia. Nie powinno się usuwać dowodów przed ich sprawdzeniem: nagłówki wiadomości, czas wysyłki, adresy nadawcy technicznego i lista reguł mogą pomóc ustalić sposób przejęcia. Po zabezpieczeniu konta trzeba ostrzec odbiorców, aby nie otwierali wcześniejszych podejrzanych wiadomości.

Diagnostyka komputera po podejrzanej korespondencji

Jeżeli podejrzany załącznik został otwarty na laptopie lub komputerze PC, sprawdza się procesy uruchamiane przy starcie systemu, zadania zaplanowane, rozszerzenia przeglądarki, zainstalowane aplikacje oraz aktualność systemu i programu ochronnego. Istotne jest także ustalenie, czy użytkownik wpisywał hasło po przejściu z wiadomości na stronę logowania. W takim przypadku samo skanowanie komputera może nie wystarczyć, ponieważ dane mogły zostać przejęte wcześniej przez fałszywy formularz.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku podejrzenia złośliwego oprogramowania można zlecić ocenę stanu urządzenia oraz uporządkowanie przyczyny nieprawidłowego działania. Zakres czynności powinien wynikać z ustaleń diagnostycznych: inaczej postępuje się przy infekcji systemu, inaczej przy wyłudzeniu hasła, a jeszcze inaczej przy nieautoryzowanej aplikacji połączonej z kontem pocztowym.

Po zakończeniu diagnostyki należy zaktualizować system i aplikacje, usunąć niepotrzebne programy, zweryfikować ustawienia autostartu oraz używać odrębnych, długich haseł dla różnych usług. Kopie zapasowe powinny być przechowywane w sposób ograniczający możliwość ich nadpisania przez złośliwe oprogramowanie. Rekursywne infekowanie zatrzymuje się dopiero wtedy, gdy zabezpieczone zostaną wszystkie ogniwa łańcucha: konto pocztowe, urządzenie, dane logowania, aplikacje z przyznanym dostępem oraz osoby, do których wysłano wcześniejsze wiadomości.