skanowanie antywirusowe wiadomości

Skanowanie antywirusowe wiadomości sprawdza treść i załączniki przed dostarczeniem ich do skrzynki.

Architektura i mechanizmy działania analizy poczty elektronicznej

Skanowanie antywirusowe wiadomości to proces zachodzący w warstwie aplikacji modelu odniesienia OSI, mający na celu identyfikację i neutralizację złośliwego kodu przed jego uruchomieniem w systemie operacyjnym użytkownika końcowego. Realizacja tego zadania opiera się na integracji wyspecjalizowanego silnika skanującego z agentem przesyłania poczty (MTA – Mail Transfer Agent), agentem dostarczania (MDA – Mail Delivery Agent) lub klientem pocztowym (MUA – Mail User Agent). Proces techniczny rozpoczyna się od parsowania struktury wiadomości e-mail, która jest sformatowana zgodnie z rygorystycznymi standardami MIME (Multipurpose Internet Mail Extensions). Standardowa paczka danych zawiera zróżnicowane sekcje: nagłówki sterujące, treść tekstową (zwykły tekst oraz wariant zapisany w znacznikach HTML) oraz załączniki, które przed wysłaniem ulegają transformacji za pomocą algorytmu kodowania Base64. Zastosowanie kodowania Base64 pozwala na transfer danych binarnych poprzez tekstowy protokół SMTP. Oprogramowanie zabezpieczające w pierwszym etapie musi precyzyjnie zdekodować te strumienie danych, by odtworzyć pliki z powrotem do ich wejściowej, binarnej postaci.

Po wyodrębnieniu konkretnych plików następuje cykl weryfikacji strukturalnej. Silnik kryptograficzny oblicza sumy kontrolne funkcji skrótu (takie jak SHA-256 lub SHA-3) dla każdego pojedynczego załącznika. Otrzymane wartości są następnie zestawiane z lokalnymi lub zdalnymi sygnaturami znanych zagrożeń. Ponieważ współczesne wektory infekcji wykorzystują zjawisko polimorfizmu do generowania unikalnych binariów dla każdej wysyłanej wiadomości, statyczne dopasowanie sygnatur przestało wystarczać do zapewnienia bezpieczeństwa. Obecnie powszechnie implementowana jest analiza heurystyczna. Polega ona na dekompilacji kodu maszynowego lub skryptowego w buforze pamięci i analizowaniu przewidywanego przebiegu instrukcji. Sprawdzane są wywołania do systemowych bibliotek DLL oraz wywołania API systemu operacyjnego, ze szczególnym naciskiem na funkcje zarządzające pamięcią i procesami, takie jak CreateRemoteThread czy WriteProcessMemory. Pliki o wysokim stopniu złożoności, w tym zagnieżdżone archiwa (ZIP, RAR, 7z) czy dokumenty biurowe wyposażone w makra języka VBA, są przesyłane do izolowanego kontenera wykonawczego. Kontener ten symuluje rejestr systemowy oraz wirtualny system plików, co pozwala skanerowi na obserwację interakcji podejrzanego oprogramowania z systemem wejścia i wyjścia.

Technologie detekcji i ewolucja środowisk wykonawczych

Architektura wdrażania systemów skanujących ewoluowała w kierunku rozwiązań przetwarzanych po stronie dostawcy usług sieciowych. Dominującym modelem jest scentralizowana analiza serwerowa. Mechanizmy te są natywnie integrowane z oprogramowaniem serwerów pocztowych lub działają jako oddzielne bramy SMTP typu store-and-forward. Rozwiązania bazujące na demonach serwerowych, takich jak Amavis współpracujący z silnikiem ClamAV oraz systemami antyspamowymi SpamAssassin, skanują paczki danych na poziomie bufora w pamięci RAM, zanim zostaną one zapisane w bazie danych przypisanej do konta konkretnego użytkownika. Wykonywanie tych operacji na klastrach obliczeniowych dostawcy eliminuje obciążenie jednostek centralnych w lokalnych stacjach roboczych i oszczędza przepustowość łącza, ponieważ zainfekowane pakiety danych są odrzucane jeszcze przed próbą ich pobrania przez protokoły dostępowe klienta.

W ujęciu historycznym sprzęt i oprogramowanie z przełomu lat dziewięćdziesiątych i dwutysięcznych wymagały innego podejścia. W czasach powszechnego wykorzystywania nieszyfrowanego standardu POP3, lokalne programy ochronne operowały na zasadzie przezroczystego serwera pośredniczącego (transparent proxy). Filtrowały one ruch sieciowy na porcie TCP 110, modyfikując zawartość pakietów w locie. Gdy algorytm wykrył sygnaturę złośliwego kodu, podmieniał plik binarny na mniejszy plik tekstowy zawierający powiadomienie o usunięciu zagrożenia. Obecne mechanizmy ochrony na urządzeniach końcowych rzadko modyfikują pakiety na poziomie warstwy transportowej. Stosują raczej integrację poprzez dedykowane interfejsy programistyczne (API), takie jak wtyczki COM dostarczane dla środowiska Microsoft Outlook. Pozwala to na badanie struktury obiektowej poszczególnych wiadomości już po ich zapisaniu w lokalnej pamięci masowej klienta. Weryfikacja taka obejmuje również analizę syntaktyczną nagłówków bezpieczeństwa serwera: SPF, DKIM oraz DMARC. Ich poprawne wdrożenie informuje mechanizm skanujący, czy adres IP serwera nadawcy był autoryzowany do wysłania wiadomości w imieniu weryfikowanej domeny, minimalizując ryzyko modyfikacji adresów zwrotnych w atakach phishingowych.

Anomalie w przetwarzaniu szyfrowanego ruchu sieciowego

Standardowa implementacja protokołów z rodziny Transport Layer Security (TLS) używanych do szyfrowania komunikacji e-mail, w tym protokołów IMAPS (port 993), POPS (port 995) oraz SMTPS (port 465), wymusiła diametralną zmianę sposobu działania lokalnych modułów antywirusowych. Oprogramowanie pracujące w tle systemu Windows nie ma bezpośredniego wglądu w zaszyfrowany ładunek przesyłany interfejsem sieciowym. By przeprowadzić inspekcję w warstwie aplikacji, skaner rezydujący w systemie używa techniki zbliżonej do ataku man-in-the-middle (MITM). Aplikacja zabezpieczająca generuje publiczny certyfikat z kluczem prywatnym i instaluje go w systemowym magazynie głównych urzędów certyfikacji (Root CA). Przy każdej inicjalizacji połączenia klienta z serwerem, skaner przechwytuje żądanie i w czasie rzeczywistym tworzy cyfrowe certyfikaty SSL podpisane swoim własnym kluczem głównym.

To specyficzne rozwiązanie technologiczne stanowi powód wielu problemów z uwierzytelnianiem i integralnością szyfrowanych tuneli. Aplikacje klienckie, w tym Mozilla Thunderbird, implementują własne, oddzielne repozytoria certyfikatów Network Security Services (NSS) i celowo ignorują certyfikaty umieszczone w rejestrze systemowym Windows. Powoduje to odrzucanie certyfikatu wygenerowanego przez antywirus i blokuje możliwość synchronizacji skrzynek ze względu na błąd niezaufanego wystawcy. Dodatkowym czynnikiem ryzyka jest interakcja modułów kwarantanny ze strukturami bazodanowymi plików pocztowych, takich jak formaty PST czy OST. Pliki te działają na zasadzie sekwencyjnie indeksowanych klastrów binarnych. Jeśli oprogramowanie zabezpieczające odnajdzie ciąg bajtów odpowiadający definicji wirusa wewnątrz pliku OST zajmującego dziesiątki gigabajtów i wykona próbę usunięcia pojedynczych sektorów z nośnika bez uprzedniej aktualizacji wskaźników bazy danych, skutkuje to trwałym naruszeniem struktury logicznej tego pliku. Klient pocztowy traci wtedy zdolność parsowania nagłówków i odczytu całego zgromadzonego archiwum. Wyzwanie dla procesów weryfikujących stanowią również bomby kompresyjne. Silnie upakowane archiwum złośliwego kodu, mierzące zaledwie kilkadziesiąt kilobajtów na dysku, po załadowaniu do pamięci RAM potrafi zdekompresować się do rozmiarów rzędu petabajtów, powodując przepełnienie stosu procesora i całkowite zawieszenie analizującego środowiska.

Skutki sprzętowe ominięcia zabezpieczeń i diagnostyka serwisowa

W dzisiejszych realiach zagadnienia oparte na błędach starego, rzadkiego oprogramowania proxy przechwytującego ruch na portach nieszyfrowanych stanowią bardzo rzadki ułamek zgłoszeń. Administracja i rozwiązywanie problemów dotyczących rozproszonych bram SMTP leży w gestii inżynierów sieci korporacyjnej i wykracza całkowicie poza kompetencje stacjonarnych serwisów sprzętowych. Serwis zajmuje się natomiast naprawą szkód wynikających z sytuacji, w której analizatory wiadomości przepuszczą ładunek, a kod maszyny wirtualnej złośliwego oprogramowania wykona się na fizycznym sprzęcie, powodując fizyczne lub strukturalne uszkodzenia komponentów bazowych maszyny.

Nierozpoznane przez skanery skrypty implementowane w fałszywych załącznikach często alokują zasoby do pobierania oprogramowania typu ransomware. Gdy taki proces zainicjuje działanie w warstwie systemu plików, modyfikuje tablice alokacji dysków SSD lub mechanicznych dysków HDD, zamieniając strukturę partycji w nieczytelny ciąg danych. W takich przypadkach specjaliści izolują nośnik od złącza płyty głównej i przeprowadzają wielogodzinne operacje niskopoziomowego odzysku danych w środowisku izolowanym, używając programatorów blokowych i modyfikując oprogramowanie układowe kontrolera dysku, aby ominąć uszkodzone bloki NAND. Niektóre zaawansowane infekcje nadpisują pamięć flash mikroukładów układów SPI odpowiedzialnych za przechowywanie instrukcji BIOS oraz UEFI. Powoduje to całkowity brak procedury POST po włączeniu zasilania (tzw. zjawisko martwej płyty). Naprawa wymaga wówczas zastosowania lutownicy na gorące powietrze, wylutowania układu EEPROM, odczytania jego pojemności bufora w zewnętrznym programatorze oraz wgrania czystego obrazu binarnego dostarczonego przez inżynierów producenta sprzętu. Złośliwy kod przepuszczony przez filtry potrafi także zamienić komputer w węzeł kopiący kryptowaluty, maksymalizując obciążenie cieplne podzespołów zasilających i procesora graficznego. Długotrwały stres termiczny w układach zablokowanych kurzem doprowadza do stopienia połączeń lutowniczych. Warszawskie Pogotowie Komputerowe diagnozuje tego typu defekty poprzez pomiary oscyloskopowe linii zasilania (szyny 19V, 5V i 3.3V) i, w razie konieczności, wymienia wypalone tranzystory polowe, stabilizatory napięcia fazowego czy stopione przetwornice. Finalnym krokiem bywa wykonanie procedury reballingu BGA układu graficznego uszkodzonego na skutek obciążeń wywołanych działaniem nierozpoznanego wirusa z pobranego komunikatu e-mail.