spoofing przez makro

Spoofing przez makro to szkodliwy kod uruchamiany po włączeniu makr w podrobionym dokumencie.

Spoofing przez makro – czym jest to zagrożenie

Spoofing przez makro oznacza próbę wykorzystania zaufania do dokumentu, arkusza lub prezentacji w celu uruchomienia niepożądanego działania na komputerze. Dokument może wyglądać jak zwykły plik otrzymany od kontrahenta, urzędu, banku, firmy kurierskiej albo działu księgowości. W rzeczywistości jego nazwa, ikona, układ treści lub dane nadawcy mogą zostać przygotowane tak, aby wzbudzić poczucie wiarygodności. Szczególne znaczenie ma makro, czyli zestaw poleceń zapisanych w pliku biurowym. Po zezwoleniu na jego działanie może dojść do wykonania instrukcji, których użytkownik nie widzi i których nie zamierzał uruchamiać.

Nie każde makro jest szkodliwe. Bywa stosowane do automatyzacji powtarzalnych czynności, porządkowania danych czy tworzenia raportów. Ryzyko pojawia się wtedy, gdy kod zostaje osadzony w podrobionym dokumencie i przedstawiony jako konieczny składnik pliku. Komunikat o treści „włącz zawartość”, „zezwól na edycję” albo „aktywuj makra, aby zobaczyć dokument” może pełnić funkcję przynęty. Po kliknięciu polecenia kod może próbować pobrać kolejny plik, zmienić ustawienia, odczytać dane zapisane lokalnie albo przygotować dostęp do dalszych działań.

Ważne jest rozróżnienie między samym otwarciem dokumentu a zezwoleniem na wykonanie zawartości aktywnej. W wielu przypadkach dokument pozostaje niegroźny do momentu świadomego odblokowania makr. Nie oznacza to jednak, że każdy komunikat ostrzegawczy można zignorować bez analizy. Plik może również zawierać inne elementy aktywne, odsyłacze, formularze lub skrypty. Dlatego należy oceniać nie tylko wygląd dokumentu, lecz także jego źródło, oczekiwane zachowanie i zgodność z wcześniejszą korespondencją.

Spoofing i makro na tle innych metod oszustwa

Spoofing przez makro łączy dwa mechanizmy: podszywanie się pod znaną osobę lub instytucję oraz wykorzystanie funkcji programu do uruchomienia kodu. W zwykłej wiadomości phishingowej nacisk kładzie się często na odsyłacz prowadzący do fałszywej strony. W przypadku dokumentu z makrem przynęta może wyglądać bardziej wiarygodnie, ponieważ treść otwiera się w znanej aplikacji biurowej i może przypominać typowy formularz, zamówienie, zestawienie lub pismo.

Podobieństwo nazwy nadawcy nie potwierdza autentyczności wiadomości. Można otrzymać plik z adresem osoby znanej z wcześniejszej korespondencji, mimo że konto zostało przejęte albo nazwa została tylko upodobniona. Również dokument podpisany nazwą firmy nie daje pewności, że pochodzi z właściwego źródła. Przy porównywaniu zagrożeń warto zwrócić uwagę na moment, w którym następuje ryzykowne działanie. Przy załączniku z makrem jest nim zwykle kliknięcie przycisku zezwalającego na aktywną zawartość, a nie samo przeczytanie tekstu.

Można też spotkać dokumenty, które nie zawierają kodu wykonywanego bezpośrednio, lecz nakłaniają do pobrania dodatkowego składnika. Wtedy makro staje się etapem pośrednim. Jego zadaniem może być uruchomienie polecenia systemowego, otwarcie ukrytego adresu internetowego lub zapisanie pliku w katalogu użytkownika. Im więcej czynności wykonuje się automatycznie po jednym kliknięciu, tym trudniej zauważyć, co dokładnie zaszło. Z tego powodu szczególną ostrożność należy zachować wobec dokumentów, które uzależniają wyświetlenie treści od wyłączenia ochrony.

Nie należy utożsamiać każdego problemu z wirusem. Objawy mogą wynikać z niezgodności programu, uszkodzenia pliku, błędnych ustawień bezpieczeństwa albo dodatku zainstalowanego wcześniej. Rozpoznanie wymaga sprawdzenia źródła dokumentu, historii działań i zachowania systemu po jego otwarciu. Bez takiej weryfikacji łatwo usunąć tylko widoczny plik, pozostawiając zmienione ustawienia lub inne elementy wymagające uwagi.

Typowe objawy po uruchomieniu makra spoofingowego

Pierwszym sygnałem ostrzegawczym może być nietypowy komunikat dotyczący aktywacji zawartości. Treść może sugerować, że bez włączenia makr nie da się odczytać faktury, potwierdzić zamówienia albo poprawnie wyświetlić formularza. Podejrzane jest także żądanie obniżenia poziomu ochrony programu, przeniesienia pliku do zaufanej lokalizacji lub ponownego uruchomienia dokumentu z dodatkowymi uprawnieniami.

Po nieostrożnym zezwoleniu na działanie makra mogą pojawić się opóźnienia, nieoczekiwane okna, samoczynne uruchamianie aplikacji, zmiana strony startowej przeglądarki, nowe rozszerzenia albo komunikaty o błędach. Czasem dokument zamyka się bez wyraźnej przyczyny i nie pozostawia widocznego śladu. W innych przypadkach zaczynają znikać pliki, zmieniają się ich nazwy lub pojawiają się kopie z nietypowymi rozszerzeniami. Należy również zwrócić uwagę na komunikaty zapory, ochrony systemu i programu antywirusowego.

Objawem pośrednim może być wzmożona aktywność komputera po zamknięciu dokumentu. Wentylator może pracować intensywniej, system może reagować z opóźnieniem, a połączenie sieciowe może być używane mimo braku wykonywanych działań. Takie zachowanie nie przesądza jeszcze o infekcji, ponieważ podobne symptomy wywołują aktualizacje, indeksowanie plików lub awarie sprzętowe. W połączeniu z podejrzanym załącznikiem powinno jednak skłonić do przerwania pracy i sprawdzenia urządzenia.

Nie powinno się kasować dowodów pochopnie. Wiadomość, załącznik, komunikat bezpieczeństwa i godzina zdarzenia mogą pomóc w ustaleniu przebiegu problemu. Nie należy także przesyłać podejrzanego pliku dalej, otwierać go na kolejnym komputerze ani sprawdzać jego zawartości metodą prób i błędów.

Makro – praktyczne wskazówki bezpiecznego postępowania

Najbezpieczniej pozostawić makra wyłączone, jeżeli dokument pochodzi z nieoczekiwanego źródła albo nie ma uzasadnienia dla aktywnej zawartości. Przed otwarciem załącznika warto potwierdzić u nadawcy, innym kanałem niż odpowiadanie na tę samą wiadomość, czy plik został wysłany celowo. Należy sprawdzić pełny adres poczty, nazwę domeny, temat rozmowy i zgodność załącznika z wcześniejszymi ustaleniami. Błąd językowy nie jest konieczny, aby wiadomość była niebezpieczna, a poprawna polszczyzna nie stanowi dowodu autentyczności.

W ustawieniach programu biurowego powinno się korzystać z poziomu ochrony odpowiedniego dla sposobu pracy. Jeżeli makra są potrzebne w legalnych dokumentach, można ograniczyć ich uruchamianie do plików pochodzących z kontrolowanego źródła i wymagających sprawdzenia. Nie należy dodawać przypadkowych katalogów do lokalizacji zaufanych. Takie działanie może spowodować, że kolejne dokumenty będą otwierane z mniejszą liczbą ostrzeżeń.

Po przypadkowym uruchomieniu podejrzanego kodu warto odłączyć komputer od sieci, jeśli jest to możliwe bez utraty danych, i zaprzestać logowania do poczty, bankowości oraz innych usług. Zmianę haseł najlepiej przeprowadzić z innego, zaufanego urządzenia. Należy zachować informacje o tym, co zostało kliknięte, jaki plik otwarto i jakie komunikaty pojawiły się na ekranie. Przydatne może być również wykonanie zdjęcia komunikatu, bez dalszego wybierania przycisków.

Nie zaleca się instalowania kilku przypadkowych narzędzi ochronnych jednocześnie ani uruchamiania programów obiecujących natychmiastowe usunięcie każdego zagrożenia. Mogą one utrudnić analizę, zmienić pliki potrzebne do ustalenia przyczyny lub same wymagać szerokich uprawnień. Rozsądniejsze jest wykorzystanie aktualnego zabezpieczenia systemowego, wykonanie kopii ważnych danych w bezpieczny sposób oraz konsultacja z osobą zajmującą się diagnostyką komputerów.

Kiedy zgłosić spoofing przez makro do serwisu

Do serwisu warto zgłosić się wtedy, gdy po otwarciu podejrzanego dokumentu pojawiły się nieznane procesy, problemy z uruchamianiem aplikacji, zmiany w przeglądarce, utrata dostępu do plików, powtarzające się alerty bezpieczeństwa lub nietypowe zachowanie komputera. Pomoc jest również wskazana, gdy nie ma pewności, czy makro zostało uruchomione, a na urządzeniu znajdują się ważne dokumenty, dane logowania albo materiały potrzebne do pracy. W takiej sytuacji bezpieczniej przekazać opis zdarzenia i podejrzany plik do analizy niż wielokrotnie otwierać go samodzielnie.

Podczas zgłoszenia przydatne będzie podanie nazwy dokumentu, źródła wiadomości, przybliżonego czasu otwarcia oraz wszystkich zauważonych objawów. Można również wskazać, czy wybrano opcję włączenia makr, czy wpisywano hasło i czy po zdarzeniu korzystano z poczty lub innych kont. Takie informacje ułatwiają rozdzielenie problemu z dokumentem od awarii systemu, błędów programu lub skutków działania niepożądanego kodu.

W Warszawie analizę takiego przypadku można powierzyć firmie Warszawskie Pogotowie Komputerowe 24/7. Przed przekazaniem urządzenia warto ustalić, jakie dane powinny pozostać nienaruszone i czy istnieje aktualna kopia zapasowa. Jeżeli kopii nie ma, nie należy podejmować pochopnych prób przywracania, formatowania ani czyszczenia dysku, ponieważ może to utrudnić odzyskanie informacji i ocenę przebiegu zdarzenia.

Po usunięciu przyczyny potrzebne może być ponowne przejrzenie ustawień ochrony, aktualizacja systemu i aplikacji biurowych oraz sprawdzenie, czy nie pozostały nieznane dodatki lub zmienione reguły uruchamiania. Warto także przeszkolić użytkowników z rozpoznawania dokumentów wymagających aktywnej zawartości. Najważniejsza zasada pozostaje prosta: dokument, który wymusza włączenie makra pod presją czasu, powinien zostać potraktowany jako potencjalnie niebezpieczny do chwili potwierdzenia jego pochodzenia.