robak e-mailowy

Robak e-mailowy to złośliwe oprogramowanie samodzielnie rozsyłające się do kontaktów zainfekowanej skrzynki.

Jak robak e-mailowy wykorzystuje skrzynkę pocztową

Robak e-mailowy jest samodzielnym programem lub fragmentem kodu, którego podstawową cechą jest zdolność do automatycznego powielania się i rozsyłania kolejnych kopii. W odróżnieniu od zwykłego wirusa nie musi dołączać się do pliku wykonywalnego, aby przenosić się między systemami. Wariant e-mailowy wykorzystuje przede wszystkim pocztę elektroniczną: po uruchomieniu na komputerze może odczytać adresy zapisane w książce kontaktów, wiadomościach lub konfiguracji używanego programu pocztowego, a następnie przygotować i wysłać wiadomości do kolejnych odbiorców.

Do rozprzestrzeniania nie jest konieczne ręczne wpisywanie adresów przez użytkownika. Zainfekowany program może korzystać z lokalnych danych skrzynki, zapisanych plików pocztowych albo z sesji pocztowej już uwierzytelnionej w aplikacji. Niektóre robaki próbują również wykorzystać mechanizmy dostępne w przeglądarce internetowej lub w kliencie poczty. Sama obecność podejrzanej wiadomości nie oznacza jeszcze infekcji, ponieważ wykonanie szkodliwego załącznika, otwarcie spreparowanego dokumentu albo uruchomienie niebezpiecznego skryptu zwykle wymaga dodatkowej czynności po stronie odbiorcy.

Łańcuch infekcji od wiadomości do kolejnych adresatów

Typowy łańcuch działania obejmuje kilka etapów. Najpierw robak trafia do komputera na przykład jako załącznik wykonywalny, dokument wykorzystujący lukę w oprogramowaniu albo odsyłacz prowadzący do pliku pobieranego z sieci. Wiadomość może mieć temat sugerujący fakturę, powiadomienie, zdjęcie lub inną codzienną sprawę. Po uruchomieniu kod uzyskuje uprawnienia procesu, w którym działa, i może rozpocząć wyszukiwanie kontaktów oraz przygotowywanie następnych wiadomości.

Następnie szkodnik może użyć skonfigurowanego konta pocztowego, lokalnego programu pocztowego albo własnego mechanizmu komunikacji z serwerem pocztowym. Wysyłane wiadomości często zawierają kopię robaka lub link do jego pobrania. Część robaków fałszuje pole nadawcy, dlatego adres widoczny w nagłówku nie musi wskazywać prawdziwego źródła. W analizie technicznej znaczenie mają pełne nagłówki, między innymi pola Received, identyfikatory wiadomości oraz informacje o sposobie uwierzytelnienia, a nie tylko nazwa wyświetlana w skrzynce odbiorczej.

Masowa wysyłka może spowodować gwałtowny wzrost liczby wiadomości wychodzących, błędów dostarczenia i automatycznych odpowiedzi. Jeżeli robak rozsyła się z użyciem prawidłowej sesji zalogowanego użytkownika, odbiorcy mogą otrzymywać wiadomości wyglądające wiarygodniej niż typowy spam. W niektórych przypadkach szkodnik wykorzystuje również lokalne dane kontaktowe bez skutecznego wysłania wiadomości, dlatego brak widocznych maili wychodzących nie wyklucza wcześniejszej próby propagacji.

Objawy i bezpieczne rozpoznanie zakażenia

Do możliwych objawów należą wiadomości wysyłane bez wiedzy właściciela konta, powiadomienia o niedostarczeniu poczty, których użytkownik nie tworzył, oraz skargi kontaktów na podejrzane załączniki. Na komputerze mogą pojawić się nieznane procesy uruchamiane wraz ze startem systemu, nowe wpisy autostartu, nietypowe rozszerzenia przeglądarki albo nagły wzrost użycia procesora i łącza podczas pozornie bezczynnej pracy. Żaden pojedynczy symptom nie stanowi jednak pewnego dowodu, ponieważ podobne zachowanie może wynikać z błędnej konfiguracji, spamu lub przejęcia samego konta bez infekcji komputera.

Rozpoznanie powinno rozpocząć się od odłączenia urządzenia od sieci, jeżeli trwa niekontrolowana wysyłka, oraz od nienaruszania podejrzanych załączników. Później można sprawdzić foldery wysłanych wiadomości, reguły pocztowe, aktywne sesje konta i historię logowania z użyciem niezainfekowanego urządzenia. Skanowanie należy wykonać aktualnym programem ochronnym uruchomionym z zaufanego środowiska. Ważne jest także ustalenie, czy problem dotyczy lokalnego systemu, czy wyłącznie hasła i sesji konta pocztowego. Zmiana hasła na bezpiecznym urządzeniu, zakończenie aktywnych sesji i włączenie uwierzytelniania wieloskładnikowego ograniczają ryzyko dalszego użycia przejętych danych.

Ograniczenie skutków i przywrócenie sprawnego komputera

Usuwanie robaka wymaga nie tylko skasowania jednej wiadomości. Należy znaleźć plik lub proces odpowiedzialny za uruchamianie kodu, usunąć jego mechanizmy autostartu, przeprowadzić pełne skanowanie oraz zainstalować zaległe aktualizacje systemu i aplikacji. Jeżeli szkodnik zmienił reguły pocztowe, ustawienia przeglądarki lub konfigurację programu pocztowego, te elementy również trzeba zweryfikować. W przypadku podejrzenia uszkodzenia systemu albo utrzymującej się aktywności bezpieczniejsza może być reinstalacja systemu z wcześniej sprawdzonego nośnika i odtworzenie danych z kopii zapasowej sprzed infekcji.

Przed ponownym podłączeniem urządzenia do sieci warto potwierdzić, że nie występują nieznane procesy, zadania automatyczne ani nowe aplikacje, a program ochronny nie zgłasza aktywnego zagrożenia. Hasła używane na zainfekowanym komputerze należy traktować jako potencjalnie ujawnione i zmienić dopiero po oczyszczeniu urządzenia lub z innego, zaufanego sprzętu. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, w tym diagnostyką systemu po infekcji, kontrolą ustawień uruchamiania i przygotowaniem komputera do bezpiecznej dalszej pracy.