spoofing antywirusów

Spoofing antywirusów to podszycie się pod komunikat programu ochronnego w celu wyłudzenia działania ofiary.

Jak działa podszywanie się pod komunikaty ochrony

Spoofing antywirusów polega na wytworzeniu komunikatu, okna lub strony internetowej, które mają wyglądać jak ostrzeżenie pochodzące z programu antywirusowego albo systemowego modułu bezpieczeństwa. Atakujący wykorzystuje znajome nazwy, kolory, ikony i sformułowania, aby skłonić użytkownika do konkretnego działania: kliknięcia przycisku, zainstalowania programu, podania hasła, wykonania płatności albo zezwolenia na zdalny dostęp. Sam wygląd komunikatu nie potwierdza jego pochodzenia. Fałszywe ostrzeżenie może być elementem strony WWW, reklamą internetową, powiadomieniem przeglądarki, oknem programu zainstalowanego bez wiedzy użytkownika lub wiadomością e-mail.

Typowy scenariusz zaczyna się od przekierowania na stronę wyświetlającą informację o rzekomo wykrytych wirusach. Strona może uruchamiać animacje, odtwarzać dźwięk alarmu, pokazywać licznik czasu lub wielokrotnie otwierać okna dialogowe. Takie elementy są wykonywane przez przeglądarkę i nie oznaczają, że skanowanie rzeczywiście przeprowadził Microsoft Defender, ESET, Avast, Bitdefender ani inny zainstalowany silnik ochronny. Rzetelny komunikat należy weryfikować w głównym interfejsie programu bezpieczeństwa, a nie wyłącznie na podstawie treści pojawiającej się w przeglądarce.

Różnica między prawdziwym alertem a imitacją

Program antywirusowy zwykle zapisuje informacje o wykryciu w swoim dzienniku zdarzeń lub historii ochrony. W systemie Windows status Microsoft Defender można sprawdzić w aplikacji Zabezpieczenia Windows, w obszarze „Ochrona przed wirusami i zagrożeniami”. Lokalizacja i nazwy elementów mogą zależeć od wersji systemu oraz zasad skonfigurowanych przez administratora, ale podstawowa zasada pozostaje taka sama: komunikat powinien mieć potwierdzenie w narzędziu ochronnym, które faktycznie działa na komputerze. Strona internetowa nie może wiarygodnie ustalić stanu lokalnego skanera tylko dlatego, że wyświetla nazwę produktu i numer rzekomo znalezionych zagrożeń.

Ważnym sygnałem ostrzegawczym jest żądanie natychmiastowej zapłaty, podanie numeru karty, kontakt telefoniczny z nieznanym „technikiem”, instalacja programu do zdalnego pulpitu lub wyłączenie ochrony systemowej. Fałszywe komunikaty często zawierają błędy językowe, nieprawidłową domenę, nietypowy adres nadawcy albo przycisk prowadzący do pliku wykonywalnego. Należy też odróżnić powiadomienie przeglądarki od powiadomienia systemowego. Po udzieleniu stronie uprawnienia do wysyłania powiadomień przeglądarka może pokazywać alerty nawet wtedy, gdy dana strona nie jest aktualnie otwarta. Takie powiadomienie nadal nie jest dowodem wykrycia złośliwego oprogramowania przez antywirusa.

Skutki kliknięcia fałszywego ostrzeżenia

Nie każde wyświetlenie imitacji oznacza infekcję komputera. Często jest to efekt złośliwej reklamy, przekierowania, nadużycia uprawnień powiadomień albo otwarcia spreparowanej strony. Ryzyko rośnie po kliknięciu przycisku pobierania, uruchomieniu pliku, zaakceptowaniu dodatku przeglądarki lub wpisaniu danych na wskazanej stronie. Pobrany program może być trojanem, niechcianą aplikacją, fałszywym „narzędziem czyszczącym” albo instalatorem kolejnych komponentów. Jeżeli użytkownik podał hasło, może ono zostać wykorzystane do przejęcia poczty, konta Microsoft, mediów społecznościowych lub innych usług.

Po kontakcie z takim komunikatem warto zamknąć kartę lub przeglądarkę bez klikania elementów strony, a następnie sprawdzić historię pobierania i listę ostatnio zainstalowanych aplikacji. Trzeba również przejrzeć uprawnienia powiadomień w ustawieniach używanej przeglądarki i usunąć nieznane witryny. Jeżeli uruchomiono pobrany plik, należy wykonać pełne skanowanie aktualnym programem ochronnym, sprawdzić aplikacje uruchamiane przy starcie systemu i usunąć nieznane rozszerzenia przeglądarki. Po podaniu hasła bezpośrednio na podejrzanej stronie hasło powinno zostać zmienione z zaufanego urządzenia, a aktywne sesje konta unieważnione. W przypadku zdalnego dostępu należy odinstalować użyte narzędzie i zweryfikować, czy nie pozostały dodatkowe konta użytkowników lub programy startowe.

Weryfikacja komputera po podejrzanym alercie

Diagnostyka powinna rozdzielić trzy sytuacje: samą ekspozycję na fałszywą stronę, zmianę ustawień przeglądarki oraz rzeczywiste uruchomienie nieznanego programu. W pierwszym przypadku należy sprawdzić historię przeglądania i pobierania. W drugim trzeba skontrolować rozszerzenia, uprawnienia powiadomień, stronę startową oraz domyślną wyszukiwarkę. W trzecim konieczne jest przeanalizowanie zainstalowanych aplikacji, procesów uruchamianych automatycznie, wykryć w historii antywirusa i zmian dokonanych w systemie. Samo usunięcie skrótu do strony albo wyczyszczenie historii nie usuwa programu, który został już zapisany na dysku i uruchomiony.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, a w ramach diagnostyki można sprawdzić skutki fałszywych alertów, niepożądane programy i zmienione ustawienia systemu. Przy przekazywaniu sprzętu warto dokładnie opisać kolejność zdarzeń: adres strony, pobrane pliki, kliknięte przyciski, podane dane oraz moment pojawienia się problemu. Takie informacje pomagają odróżnić spoofing komunikatu antywirusowego od faktycznego wykrycia szkodliwego pliku i ograniczyć ryzyko usunięcia dowodów potrzebnych do ustalenia źródła problemu.