spoofing przy ataku ransomware

Spoofing przy ataku ransomware wykorzystuje fałszywego nadawcę, by skłonić ofiarę do otwarcia szkodliwego załącznika.

Na czym polega spoofing przy ataku ransomware

Spoofing przy ataku ransomware oznacza podszywanie się pod innego nadawcę, adresata, domenę, numer telefonu albo usługę, aby wiadomość wyglądała wiarygodnie. W kampanii wykorzystującej ransomware najczęściej chodzi o fałszywy adres e-mail lub nazwę nadawcy. Wiadomość może przypominać korespondencję od firmy kurierskiej, banku, dostawcy oprogramowania, pracownika księgowości albo osoby znanej odbiorcy. Celem jest skłonienie użytkownika do otwarcia załącznika, kliknięcia odnośnika lub uruchomienia pliku, który rozpocznie dalszą część ataku.

Sam spoofing nie jest jeszcze ransomware. Jest techniką socjotechniczną i manipulacją informacją o źródle komunikatu. Złośliwe oprogramowanie pojawia się dopiero wtedy, gdy użytkownik uruchomi załącznik, pobierze plik z odnośnika, wpisze dane na fałszywej stronie albo zaakceptuje działanie wymagające dodatkowych uprawnień. W praktyce oba elementy mogą występować w jednym łańcuchu: fałszywy nadawca buduje zaufanie, wiadomość wywołuje pośpiech, a załącznik lub link dostarcza kod szyfrujący pliki.

Fałszywy nadawca i mechanizm nakłaniania do działania

Adres nadawcy widoczny w programie pocztowym nie zawsze odpowiada rzeczywistemu serwerowi, który wysłał wiadomość. Atakujący może sfałszować pole wyświetlane odbiorcy albo użyć domeny bardzo podobnej do prawdziwej, na przykład z dodatkowym znakiem, inną końcówką lub literą zastąpioną znakiem o podobnym wyglądzie. Czasem podszycie dotyczy tylko nazwy nadawcy, podczas gdy właściwy adres znajduje się dopiero w szczegółach wiadomości. Dlatego sama znajomość nazwy firmy lub osoby wyświetlanej w skrzynce nie potwierdza autentyczności korespondencji.

Wiadomości prowadzące do infekcji często zawierają presję czasową albo pozornie rutynową czynność. Może to być faktura, wezwanie do zapłaty, dokument do podpisu, informacja o blokadzie konta lub prośba o potwierdzenie dostawy. Załącznik może mieć rozszerzenie kojarzące się z dokumentem, ale rzeczywisty typ pliku może być inny. Ryzyko zwiększa się, gdy system ukrywa rozszerzenia znanych typów plików albo gdy program pocztowy pozwala bezpośrednio uruchomić załącznik. Szczególną ostrożność należy zachować wobec plików wykonywalnych, skryptów, dokumentów żądających włączenia makr oraz archiwów zawierających nieoczekiwane pliki.

Jak rozpoznać próbę dostarczenia ransomware

Analiza podejrzanej wiadomości powinna obejmować nie tylko treść, lecz także pełny adres nadawcy, adresy odnośników i właściwości załącznika. Po wskazaniu odnośnika bez otwierania strony można sprawdzić, czy jego domena odpowiada organizacji, od której rzekomo pochodzi wiadomość. Warto także porównać sposób napisania komunikatu z wcześniejszą korespondencją i zweryfikować nietypową prośbę innym kanałem kontaktu. Nie należy odpowiadać na podejrzaną wiadomość w celu potwierdzenia jej autentyczności, ponieważ odpowiedź może ujawnić, że skrzynka jest aktywnie używana.

Techniczne nagłówki wiadomości mogą dostarczyć dodatkowych informacji. Wyniki kontroli SPF, DKIM i DMARC pomagają serwerom pocztowym ocenić, czy wiadomość została wysłana z uprawnionej infrastruktury i czy domena nadawcy jest właściwie uwierzytelniona. Ich pozytywny wynik nie gwarantuje bezpieczeństwa, ponieważ przestępca może wysłać wiadomość z legalnie utworzonej, podobnej domeny. Z kolei niepowodzenie tych kontroli jest istotnym sygnałem ostrzegawczym, zwłaszcza gdy wiadomość żąda natychmiastowego otwarcia załącznika. Ostateczna ocena powinna uwzględniać również reputację pliku, zachowanie programu antywirusowego i źródło wiadomości.

Jeżeli załącznik został uruchomiony, należy przerwać dalszą pracę z plikiem i odłączyć komputer od sieci, aby ograniczyć możliwość komunikacji z infrastrukturą atakującego oraz rozprzestrzeniania się złośliwego kodu. Nie powinno się samodzielnie usuwać zaszyfrowanych plików ani wielokrotnie uruchamiać podejrzanego programu, ponieważ może to utrudnić późniejszą analizę. Trzeba zachować informacje o wiadomości, nazwę załącznika, komunikat wyświetlony przez system i oznaki zmiany nazw plików. Jeżeli pojawiło się żądanie okupu, nie jest ono dowodem, że zapłata przywróci dane.

Diagnostyka komputera po otwarciu podejrzanej wiadomości

Diagnostyka po kontakcie ze spoofingiem powinna ustalić, czy doszło tylko do wyświetlenia wiadomości, czy również do uruchomienia pliku, pobrania dodatkowego programu albo zmiany konfiguracji systemu. Sprawdza się między innymi nietypowe procesy, zadania uruchamiane wraz z systemem, nowe pliki wykonywalne, komunikaty zapory, historię ochrony antywirusowej oraz oznaki szyfrowania danych. Ważne jest rozróżnienie między samym podejrzeniem a potwierdzonym wykonaniem kodu. Nie każde nietypowe spowolnienie oznacza ransomware, ale nagła zmiana rozszerzeń wielu plików, niedostępność dokumentów i pojawienie się instrukcji zapłaty wymagają pilnej reakcji.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC i podzespołów, dlatego w przypadku podejrzenia infekcji można przekazać urządzenie do oceny stanu systemu oraz danych. Podczas diagnostyki należy jasno wskazać, czy podejrzana wiadomość została otwarta, czy załącznik uruchomiono i kiedy pojawiły się pierwsze objawy. Takie informacje pomagają odtworzyć kolejność zdarzeń i ograniczyć ryzyko pominięcia zmian wykonanych przez złośliwe oprogramowanie.

Przed rozpoczęciem naprawy warto zabezpieczyć kopie ważnych plików, o ile jest to możliwe bez uruchamiania podejrzanych programów i bez dalszego zapisywania danych na potencjalnie zaatakowanym nośniku. Kopia wykonana po infekcji może zawierać zaszyfrowane lub zainfekowane pliki, dlatego wymaga późniejszej weryfikacji. W przypadku braku kopii zapasowej należy zachować oryginalny nośnik i nie stosować przypadkowych narzędzi obiecujących natychmiastowe odszyfrowanie. Spoofing można ograniczyć przez dokładną weryfikację nadawcy, ale po uruchomieniu załącznika potrzebna jest już ocena techniczna konkretnego komputera.