spoofing z wykorzystaniem malware

Spoofing z wykorzystaniem malware łączy fałszywego nadawcę z dostarczeniem szkodliwego oprogramowania.

Na czym polega spoofing połączony z malware

Spoofing z wykorzystaniem malware to atak, w którym przestępca jednocześnie podszywa się pod wiarygodną osobę, firmę, domenę albo urządzenie i próbuje doprowadzić do uruchomienia szkodliwego oprogramowania. Fałszywa tożsamość ma zwiększyć zaufanie odbiorcy, a malware jest właściwym narzędziem przejęcia kontroli, kradzieży informacji, szyfrowania plików lub dalszego ataku. Wiadomość może wyglądać jak korespondencja od banku, operatora pocztowego, pracodawcy, kontrahenta albo znajomego. W praktyce często zawiera odnośnik do strony wyłudzającej dane, załącznik z dokumentem lub instalatorem, kod QR kierujący do fałszywego serwisu albo prośbę o pobranie programu do rzekomej weryfikacji.

Podszycie może dotyczyć samego adresu nadawcy, nazwy wyświetlanej w programie pocztowym, domeny internetowej, numeru telefonu, identyfikatora komunikatora lub adresu nadawcy pakietów sieciowych. Nie każda forma spoofingu daje napastnikowi możliwość pełnej kontroli nad komunikacją. Na przykład sfałszowany adres nadawcy w wiadomości nie musi oznaczać włamania do prawdziwej skrzynki pocztowej. Jeżeli odbiorca zaufa takiej wiadomości i uruchomi plik albo zezwoli przeglądarce na pobranie programu, atak przechodzi z etapu manipulacji tożsamością do etapu infekcji urządzenia.

Jak malware trafia na komputer pod fałszywą tożsamością

Jednym z typowych scenariuszy jest wiadomość z załącznikiem udającym fakturę, potwierdzenie zamówienia, skan dokumentu lub formularz. Plik może mieć rozszerzenie wykonywalne, na przykład .exe, .msi albo .scr, lecz może również wykorzystywać dokument biurowy, archiwum lub skrót systemu Windows. Samo rozszerzenie nie zawsze jest widoczne, gdy system ukrywa znane rozszerzenia plików. Złośliwy dokument może nakłaniać do włączenia makr, jednak współczesne wersje pakietu Microsoft 365 domyślnie blokują makra pochodzące z Internetu w wielu typowych scenariuszach. Inną drogą jest fałszywa aktualizacja przeglądarki, kodeka albo programu do odczytu dokumentów.

Po uruchomieniu malware może utworzyć mechanizm automatycznego startu, zmienić ustawienia przeglądarki, pobrać kolejne komponenty i nawiązać połączenie z serwerem sterującym. W zależności od rodzaju programu skutkiem może być rejestrowanie klawiszy, kradzież zapisanych haseł, przejęcie sesji przeglądarki, zdalne sterowanie pulpitem, szyfrowanie danych albo wykorzystanie komputera do wysyłania kolejnych wiadomości. Infekcja nie zawsze powoduje natychmiastowe widoczne objawy. Część programów działa w tle, ogranicza aktywność lub czeka na określone polecenie, dlatego brak komunikatu ostrzegawczego nie jest dowodem bezpieczeństwa.

Ślady w wiadomości, domenie i systemie Windows

Przy ocenie podejrzanej poczty warto sprawdzić pełne nagłówki wiadomości, a nie tylko nazwę widoczną przy polu „Od”. Istotne są między innymi wyniki mechanizmów SPF, DKIM i DMARC. SPF pozwala domenie określić dozwolone serwery wysyłające pocztę, DKIM umożliwia kryptograficzne podpisanie wybranych elementów wiadomości, a DMARC definiuje zasady postępowania z wiadomościami, które nie przechodzą kontroli oraz określa zgodność domeny widocznej dla odbiorcy z domeną używaną w uwierzytelnieniu. Pozytywny wynik tych kontroli nie gwarantuje, że treść jest bezpieczna, ponieważ przestępca może użyć legalnej, lecz wcześniej przejętej skrzynki albo zarejestrowanej domeny podobnej do prawdziwej.

Na komputerze sygnałami ostrzegawczymi mogą być nowe procesy uruchamiane bez wiedzy użytkownika, nieznane rozszerzenia przeglądarki, zmieniona strona startowa, nietypowe przekierowania, wysoka aktywność dysku lub sieci oraz komunikaty programu zabezpieczającego. Warto zweryfikować autostart aplikacji, zainstalowane programy i historię pobierania, ale nie należy otwierać podejrzanego pliku w celu „sprawdzenia, co zrobi”. Bezpieczniejsze postępowanie obejmuje odłączenie urządzenia od sieci, zachowanie podejrzanej wiadomości do analizy, uruchomienie aktualnego skanowania ochroną antywirusową oraz zmianę haseł z niezainfekowanego urządzenia. Jeżeli malware mogło przejąć sesję, samo ustawienie nowego hasła może nie wystarczyć bez wylogowania aktywnych sesji i unieważnienia tokenów oferowanego przez daną usługę.

Ograniczanie skutków infekcji na laptopie lub PC

Podstawową ochroną jest aktualny system operacyjny, przeglądarka, program pocztowy i oprogramowanie zabezpieczające, ponieważ poprawki usuwają znane podatności wykorzystywane do uruchamiania kodu. Użytkownik powinien instalować programy wyłącznie z wiarygodnych źródeł, weryfikować domenę przed logowaniem i nie używać danych kontaktowych z samej podejrzanej wiadomości do potwierdzania jej autentyczności. Pomocne jest włączenie uwierzytelniania wieloskładnikowego, szczególnie dla poczty i kont przechowujących kopie plików. Kopie zapasowe powinny być regularnie sprawdzane pod kątem możliwości odtworzenia; kopia stale dostępna z uprawnieniami zapisu może zostać uszkodzona lub zaszyfrowana przez ransomware.

Jeśli doszło do uruchomienia podejrzanego załącznika, nie należy kontynuować pracy na komputerze ani wpisywać na nim haseł. W zależności od wyniku diagnostyki konieczne może być usunięcie złośliwych komponentów, przywrócenie prawidłowych ustawień, odzyskanie danych z kopii zapasowej lub ponowna instalacja systemu. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w przypadku podejrzenia malware może rozpocząć od zabezpieczenia urządzenia, analizy objawów oraz sprawdzenia, czy po infekcji pozostały niepożądane programy i zmienione ustawienia.