spear phishing z wirusem

Spear phishing z wirusem łączy precyzyjnie sprofilowany atak z dostarczeniem szkodliwego oprogramowania.

Jak działa ukierunkowany atak z załącznikiem lub odsyłaczem

Spear phishing z wirusem to atak, w którym przestępca najpierw wybiera konkretną osobę lub niewielką grupę odbiorców, a następnie przygotowuje wiadomość dopasowaną do ich pracy, zainteresowań albo wcześniejszej korespondencji. Nadawca może użyć imienia pracownika, nazwy firmy, stanowiska, numeru zamówienia lub tematu trwającej sprawy. Celem jest nakłonienie odbiorcy do wykonania czynności, która uruchomi dostarczenie szkodliwego kodu. Wiadomość może zawierać zainfekowany załącznik, odsyłacz do strony podszywającej się pod panel logowania albo dokument proszący o włączenie makr, zawartości aktywnej lub innego elementu wykonywalnego.

Określenie „z wirusem” opisuje skutek techniczny ataku, a nie jeden konkretny typ programu. Złośliwy plik może instalować trojana zdalnego dostępu, program kradnący dane uwierzytelniające, ransomware szyfrujące pliki albo moduł pobierający kolejne składniki. Współczesne kampanie często rozpoczynają się od programu, który sam nie wykonuje wszystkich działań, lecz pobiera następne pliki z serwera kontrolowanego przez atakującego. Dlatego sama obecność wiadomości w skrzynce nie oznacza jeszcze infekcji; ryzyko rośnie po otwarciu pliku, uruchomieniu zawartości aktywnej, podaniu hasła na fałszywej stronie lub zaakceptowaniu nietypowego żądania systemowego.

Elementy wiadomości, które wymagają technicznej weryfikacji

Analizując podejrzaną wiadomość, należy sprawdzić rzeczywisty adres nadawcy, domenę używaną w odsyłaczach oraz nagłówki techniczne, a nie tylko nazwę wyświetlaną w programie pocztowym. Oszust może wykorzystać domenę podobną wizualnie do prawidłowej, literówkę, dodatkową subdomenę albo adres skrócony przez usługę przekierowującą. Warto zweryfikować, czy treść wiadomości jest zgodna z oczekiwanym procesem: pilna faktura, zmiana numeru rachunku, prośba o dokument lub żądanie resetu hasła powinny być potwierdzone innym kanałem komunikacji.

Załącznik powinien być traktowany ostrożnie zwłaszcza wtedy, gdy jego rozszerzenie nie pasuje do deklarowanego dokumentu. Ryzyko zwiększają pliki wykonywalne, skrypty, archiwa zabezpieczone hasłem oraz dokumenty żądające włączenia makr lub edycji w celu wyświetlenia treści. Nie należy podejmować decyzji wyłącznie na podstawie ikony pliku, ponieważ system może ukrywać znane rozszerzenia, a napastnik może użyć nazwy sugerującej dokument. O bezpieczeństwie nie przesądza też sam fakt, że wiadomość wygląda poprawnie językowo. Informację o podejrzanym e-mailu najlepiej przekazać administratorowi lub operatorowi poczty bez odpowiadania nadawcy i bez klikania zawartych odsyłaczy.

Co dzieje się po uruchomieniu złośliwego pliku

Po otwarciu załącznika złośliwy program może próbować uruchomić proces w profilu użytkownika, zapisać pliki w katalogach tymczasowych, zmienić ustawienia autostartu albo nawiązać połączenie z serwerem sterującym. W zależności od rodzaju malware może także przeszukiwać przeglądarki pod kątem zapisanych sesji, rejestrować naciśnięcia klawiszy, kopiować dokumenty lub szyfrować dane dostępne dla bieżącego konta. Zakres szkód zależy między innymi od uprawnień użytkownika, konfiguracji systemu, aktualności zabezpieczeń oraz tego, czy komputer ma dostęp do wspólnych katalogów i urządzeń sieciowych.

Jeżeli użytkownik kliknął podejrzany odsyłacz lub uruchomił załącznik, powinien przerwać dalszą pracę na komputerze i nie logować się z niego do bankowości, poczty ani innych ważnych usług. W przypadku podejrzenia aktywnej infekcji można odłączyć komputer od sieci, na przykład przez wyłączenie Wi-Fi lub odpięcie przewodu Ethernet, o ile nie utrudni to zebrania informacji potrzebnych do analizy. Nie należy samodzielnie usuwać wszystkich plików ani kasować historii zdarzeń, ponieważ może to zniszczyć ślady. Istotne są godzina otrzymania wiadomości, nazwa załącznika, adres strony, komunikaty programu antywirusowego oraz objawy takie jak nagłe spowolnienie, nowe procesy, blokada plików czy nietypowe okna logowania.

Sprawdzenie laptopa lub komputera po podejrzanej wiadomości

Diagnostyka powinna obejmować skanowanie systemu z użyciem aktualnych baz zagrożeń, przegląd uruchamianych aplikacji, zadań automatycznych i rozszerzeń przeglądarki oraz kontrolę nietypowych zmian w ustawieniach. Samo usunięcie wiadomości nie usuwa programu, który mógł zostać wcześniej zapisany na dysku. Po potwierdzeniu infekcji konieczna może być zmiana haseł, ale należy wykonać ją z czystego urządzenia, ponieważ zainfekowany komputer może przechwytywać nowe dane. Jeśli złośliwe oprogramowanie uzyskało dostęp do konta, trzeba także unieważnić aktywne sesje i sprawdzić historię logowań w danej usłudze.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może sprawdzić objawy wskazujące na infekcję po otwarciu podejrzanej wiadomości. Serwisowa ocena obejmuje ustalenie, czy problem dotyczy samego systemu, przeglądarki, profilu użytkownika, uszkodzonych plików czy działania szkodliwego programu. Przed reinstalacją systemu warto zabezpieczyć ważne dane w sposób, który nie przeniesie aktywnego malware na kopię zapasową. Po oczyszczeniu komputera należy zaktualizować system i aplikacje, ograniczyć pracę na koncie administratora, włączyć wieloskładnikowe logowanie tam, gdzie jest dostępne, oraz zachować ostrożność wobec kolejnych wiadomości odwołujących się do tego samego zdarzenia.