spam z wirusem

Spam z wirusem łączy niechcianą treść z dostarczeniem szkodliwego oprogramowania.

Jak wygląda ładunek doklejony do niechcianej wiadomości

Prosty plik wykonywalny w załączniku to dziś rzadkość, bo blokują go wszystkie liczące się filtry. Napastnicy używają opakowań: obrazu dysku ISO lub IMG, archiwum ZIP zabezpieczonego hasłem podanym w treści listu, dokumentu z makrem w formacie DOCM albo XLSM, notatnika OneNote z osadzonym skryptem, wreszcie strony HTML, która składa plik dopiero w przeglądarce ofiary. Sens opakowania jest zawsze ten sam — pozbyć się znacznika pochodzenia z internetu, który Windows dopisuje pobranym plikom w alternatywnym strumieniu danych Zone.Identifier. To ten znacznik sprawia, że Office blokuje makra i pokazuje czerwony pasek zamiast przycisku włączenia zawartości, a system wyświetla ostrzeżenie filtra reputacji przy uruchamianiu programu.

Socjotechnika, która skłania do otwarcia załącznika

Najskuteczniejsza odmiana nie wygląda jak spam. Rodzina złośliwego oprogramowania rozsyłana metodą przejęcia wątku odpowiada na prawdziwą korespondencję wykradzioną z zainfekowanej skrzynki kontrahenta: cytat poprzedniej wiadomości się zgadza, temat się zgadza, nazwisko się zgadza, a dołączony arkusz rzekomo zawiera korektę faktury. Druga częsta odmiana podszywa się pod przewoźnika lub urząd i straszy terminem. Trzecia to fałszywe powiadomienie o wygaśnięciu hasła do poczty z odnośnikiem do formularza łudząco podobnego do panelu logowania hostingu. Wspólny mianownik: pośpiech, autorytet i załącznik lub odnośnik, którego nikt się nie spodziewał.

Co dzieje się na komputerze po dwukliku

Uruchomiony ładunek zwykle nie robi hałasu. Kopiuje się do katalogu profilu użytkownika, najczęściej w gałęzi AppData, zakłada wpis w rejestrze w kluczu Run albo zadanie w Harmonogramie zadań i nawiązuje połączenie z serwerem sterującym. Dopiero potem pobiera właściwy moduł: złodzieja haseł zapisanych w przeglądarce, koparkę obciążającą procesor albo szyfrator plików. Objawy, z którymi zgłaszają się klienci, to spowolnienie laptopa, wentylator pracujący bez powodu, znikające dokumenty, dopisane rozszerzenie do wszystkich plików i plik tekstowy z żądaniem okupu na pulpicie. Załączniki otwarte prosto z Outlooka lądują w ukrytym katalogu bufora wewnątrz INetCache, więc pozornie skasowana wiadomość wcale nie oznacza, że plik zniknął z dysku.

Czyszczenie zainfekowanego laptopa bez utraty dokumentów

Zarażony sprzęt odbieramy własnym kierowcą, bez kurierów i bez opłaty za transport, a diagnoza przy odbiorze nic nie kosztuje. Dysk podpinamy do stanowiska serwisowego i skanujemy poza uruchomionym systemem, bo aktywna infekcja potrafi ukryć własne pliki przed skanerem działającym wewnątrz Windowsa. Najpierw kopiujemy dane użytkownika, dopiero potem czyścimy system, usuwamy punkty automatycznego startu, sprawdzamy reguły w skrzynce pocztowej i zmieniamy hasła zapisane w przeglądarkach. Przy szyfrowaniu plików odzyskujemy to, co da się odzyskać z kopii woluminów i nośników zewnętrznych. Na czas pracy zostawiamy laptopa zastępczego, żeby firma nie stanęła — obsługujemy zarówno klientów indywidualnych, jak i biura.