spam zombie

Spam zombie to niechciana korespondencja rozsyłana z przejętych, zainfekowanych komputerów.

Spam zombie jako skutek przejęcia urządzenia

Spam zombie oznacza masową, niepożądaną korespondencję wysyłaną przy wykorzystaniu komputerów, które zostały wcześniej zainfekowane albo przejęte przez osoby nieuprawnione. Właściciel takiego urządzenia często nie wie, że jego sprzęt bierze udział w rozsyłaniu wiadomości. Komputer może działać pozornie normalnie, uruchamiać znane programy i pozwalać na korzystanie z internetu, a jednocześnie w tle wykonywać polecenia zapisane przez szkodliwe oprogramowanie.

Określenie „zombie” nawiązuje do sposobu działania takiego komputera. Nie chodzi o całkowitą utratę kontroli przez użytkownika, lecz o podporządkowanie części zasobów zewnętrznemu operatorowi. Zainfekowane urządzenie może zostać włączone do większej sieci, nazywanej botnetem. Każdy element takiej sieci otrzymuje zadania, na przykład przygotowanie wiadomości, pobranie listy adresów, przekazanie załącznika albo nawiązanie połączenia z serwerem sterującym.

Wysyłanie spamu z wielu prywatnych komputerów utrudnia wykrycie prawdziwego źródła korespondencji. Adres nadawcy może być zmieniany, a wiadomości mogą być kierowane przez różne połączenia internetowe. Z tego powodu odbiorca widzi zwykle przypadkowy adres lub nazwę podszywającą się pod znaną firmę, natomiast osoba korzystająca z zakażonego laptopa albo komputera stacjonarnego może zauważyć jedynie niewielkie spowolnienie działania.

Spam zombie a zwykły spam i botnet

Zwykły spam jest problemem po stronie odbiorcy, ponieważ do skrzynki trafiają niechciane reklamy, fałszywe powiadomienia lub wiadomości nakłaniające do kliknięcia odnośnika. Spam zombie ma dodatkowy wymiar: urządzenie użytkownika staje się narzędziem do wysyłania podobnej korespondencji innym osobom. Właściciel komputera może więc jednocześnie otrzymywać spam i nieświadomie pomagać w jego rozsyłaniu.

Botnet nie musi składać się wyłącznie z komputerów. W praktyce do podobnych sieci mogą być dołączane różne urządzenia podłączone do internetu, jeśli mają słabe zabezpieczenia, nieaktualne oprogramowanie lub łatwe do odgadnięcia dane logowania. W przypadku komputera szczególne znaczenie mają system operacyjny, przeglądarka, dodatki, program pocztowy oraz aplikacje, które mogą otwierać pliki pobrane z sieci.

Wiadomości wysyłane z urządzeń zombie często zawierają odnośniki do stron wyłudzających dane, pliki z kodem uruchamiającym kolejną infekcję albo informacje mające nakłonić do szybkiej płatności. Zdarza się też, że spam wygląda jak automatyczna odpowiedź, faktura, powiadomienie o przesyłce lub komunikat dotyczący konta internetowego. Sama forma wiadomości nie przesądza jednak o źródle problemu. Do oceny potrzebne są między innymi nagłówki pocztowe, logi programu zabezpieczającego i zachowanie urządzenia.

Istotna jest także różnica między przejętym kontem pocztowym a zainfekowanym komputerem. Gdy atakujący uzyska hasło do skrzynki, może wysyłać wiadomości przez prawidłowy serwis pocztowy, nawet jeśli komputer użytkownika jest czysty. Jeżeli natomiast spam zombie jest rozsyłany bezpośrednio z urządzenia, ślady mogą pojawić się w aktywnych procesach, regułach zapory, harmonogramie zadań lub ustawieniach połączenia. Oba przypadki wymagają innego postępowania.

Typowe problemy wywoływane przez spam zombie

Pierwszym sygnałem może być wzrost liczby komunikatów zwrotnych informujących o niedostarczeniu wiadomości, których użytkownik nie wysyłał. W skrzynce mogą pojawić się odpowiedzi od nieznanych odbiorców, raporty o odrzuceniu poczty albo automatyczne ostrzeżenia systemów antyspamowych. Nie zawsze oznacza to infekcję, ponieważ nadawca może podszyć się pod cudzy adres. Jeżeli jednak równocześnie komputer zaczyna działać wolniej, często komunikuje się z internetem lub uruchamia nieznane procesy, potrzebna jest dokładniejsza kontrola.

Do częstych objawów należą również samoczynne otwieranie stron, zmieniona strona startowa przeglądarki, nowe rozszerzenia, nieznane programy uruchamiane wraz z systemem, częste ostrzeżenia zapory oraz nietypowe obciążenie procesora lub łącza. Niekiedy zmiany są subtelne: wentylator pracuje częściej, bateria szybciej się rozładowuje, a komputer budzi się ze stanu uśpienia bez wyraźnego powodu.

Skutki mogą dotknąć także reputacji adresu internetowego. Jeżeli z jednego połączenia wysyłany jest spam, serwery pocztowe mogą zacząć traktować ten adres jako podejrzany. W efekcie prawidłowe wiadomości wysyłane przez użytkownika mogą trafiać do folderu niechcianej poczty albo być odrzucane. Problem może obejmować więcej niż jedno urządzenie, zwłaszcza gdy z tej samej sieci korzystają komputery domowe, sprzęt firmowy i urządzenia bez aktualizacji.

Nie powinno się także ignorować ryzyka kradzieży danych. Program odpowiedzialny za rozsyłanie spamu może mieć dodatkowe funkcje, takie jak przechwytywanie haseł, odczytywanie zawartości przeglądarki, wykonywanie zrzutów ekranu lub pobieranie kolejnych składników. Z tego powodu spam zombie nie jest wyłącznie uciążliwością związaną z pocztą elektroniczną, lecz może wskazywać na szersze naruszenie bezpieczeństwa.

Jak ograniczyć ryzyko spamu zombie

Podstawą ochrony jest regularne aktualizowanie systemu oraz wszystkich programów, które łączą się z internetem. Aktualizacje usuwają znane luki, przez które może dojść do uruchomienia szkodliwego kodu. Należy również korzystać z ochrony antywirusowej z aktualną bazą oraz pozostawiać włączoną zaporę. Sam program zabezpieczający nie zastępuje jednak ostrożności podczas otwierania wiadomości i pobierania plików.

Nie powinno się uruchamiać załączników tylko dlatego, że wiadomość wygląda formalnie lub zawiera nazwę znanej instytucji. Szczególną ostrożność wymagają dokumenty z makrami, skrypty, archiwa z hasłem oraz pliki, których rozszerzenie jest ukrywane przez system. Przed kliknięciem odnośnika można sprawdzić jego rzeczywisty adres, a w razie wątpliwości skontaktować się z nadawcą innym kanałem.

Ważne jest stosowanie długich, niepowtarzalnych haseł oraz dodatkowego składnika logowania tam, gdzie jest dostępny. Hasło używane do poczty nie powinno być wykorzystywane w sklepie internetowym, serwisie społecznościowym ani w panelu routera. Jeżeli istnieje podejrzenie przejęcia konta, hasło należy zmienić z bezpiecznego urządzenia i sprawdzić listę aktywnych sesji, reguł przekierowania oraz adresów pomocniczych.

Warto też wykonywać kopie zapasowe ważnych dokumentów i przechowywać przynajmniej jedną kopię poza stale podłączonym komputerem. Kopia zapasowa nie usuwa infekcji, ale ogranicza skutki awarii, zaszyfrowania danych lub konieczności ponownej instalacji systemu. Przydatne jest również odłączenie od sieci urządzenia, na którym wykryto podejrzane działanie. Pozwala to ograniczyć dalszą komunikację do czasu przeprowadzenia sprawdzenia.

Nie należy usuwać przypadkowych plików systemowych ani wyłączać zabezpieczeń bez rozpoznania przyczyny. Chaotyczne działania mogą utrudnić późniejszą analizę, a czasem sprawić, że szkodliwy program przestanie być widoczny tylko na krótki czas. Bezpieczniejsze jest zebranie informacji o objawach, zapisanie nazw wykrytych zagrożeń i przygotowanie listy ostatnio instalowanych programów.

Kiedy zgłosić spam zombie do serwisu komputerowego

Zgłoszenie do serwisu jest uzasadnione, gdy komputer rozsyła wiadomości bez udziału użytkownika, pojawiają się powtarzające alerty zabezpieczeń, nieznane procesy wracają po usunięciu albo system samoczynnie zmienia ustawienia. Pomoc może być potrzebna także wtedy, gdy nie da się ustalić, czy problem dotyczy samego urządzenia, konta pocztowego, routera czy kilku elementów sieci. W takiej sytuacji przydatne jest sprawdzenie systemu, autostartu, zadań zaplanowanych, przeglądarek, ustawień sieciowych oraz dzienników zdarzeń.

W przypadku Warszawskiego Pogotowia Komputerowego 24/7 można zlecić ocenę komputera pod kątem infekcji związanej ze spamem zombie, podejrzanych programów i nieautoryzowanych zmian. Przed przekazaniem urządzenia dobrze jest opisać moment pojawienia się objawów, rodzaj otrzymywanych komunikatów oraz wykonane dotychczas czynności. Nie powinno się logować do banku, poczty ani innych ważnych usług z podejrzanego komputera do czasu wyjaśnienia sytuacji.

Po zakończeniu sprawdzania może być konieczne usunięcie szkodliwych składników, aktualizacja systemu, zmiana haseł, przywrócenie bezpiecznych ustawień przeglądarki oraz kontrola pozostałych urządzeń korzystających z tej samej sieci. Jeżeli infekcja ingerowała w ważne elementy systemu albo nie można potwierdzić pełnego usunięcia zagrożenia, rozważa się ponowną instalację systemu po zabezpieczeniu danych. Takie działanie powinno być poprzedzone weryfikacją kopii zapasowej i ustaleniem, które pliki można bezpiecznie przenieść.

Najważniejsze jest szybkie odseparowanie podejrzanego urządzenia, zabezpieczenie kont oraz zachowanie informacji potrzebnych do analizy. Spam zombie może być tylko widocznym objawem większego problemu, dlatego samo skasowanie kilku niechcianych wiadomości nie rozwiązuje sprawy. Kontrola techniczna pozwala ustalić, czy komputer był wykorzystywany do wysyłania korespondencji, czy doszło również do przejęcia danych dostępowych i jakie działania ograniczą ryzyko powtórzenia zdarzenia.