trojan e-mailowy

Trojan e-mailowy to szkodliwe oprogramowanie dostarczane jako pozornie niegroźny załącznik wiadomości.

Jak działa trojan dostarczony pocztą elektroniczną

Trojan e-mailowy to szkodliwy program, który wykorzystuje wiadomość pocztową jako kanał dostarczenia. W przeciwieństwie do samorozprzestrzeniającego się robaka zwykle nie musi samodzielnie wyszukiwać kolejnych komputerów. Atakujący nakłania odbiorcę do otwarcia załącznika, uruchomienia pobranego pliku albo kliknięcia odnośnika prowadzącego do strony imitującej panel logowania. Wiadomość może udawać fakturę, potwierdzenie zamówienia, dokument kadrowy, przesyłkę kurierską lub korespondencję od znanej osoby. O jej szkodliwości decyduje nie temat wiadomości, lecz kod uruchomiony po stronie odbiorcy.

Załącznik może mieć postać programu wykonywalnego, skryptu, dokumentu biurowego, pliku HTML, obrazu dysku albo archiwum ZIP. Często stosuje się podwójne rozszerzenia, na przykład nazwę sugerującą dokument, lecz zakończoną rozszerzeniem wykonywalnym. Inne techniki obejmują hasłowane archiwa, aby utrudnić skanerom pocztowym analizę zawartości, oraz pliki zawierające odnośniki do dalszego pobrania. Samo zapisanie załącznika na dysku nie zawsze oznacza infekcję; zagrożenie zwykle powstaje po jego otwarciu, uruchomieniu lub zaakceptowaniu żądania wykonania dodatkowej czynności.

Załącznik, skrypt i pierwsze oznaki infekcji

Po uruchomieniu trojan może utworzyć pliki w katalogu profilu użytkownika, w katalogach tymczasowych albo w innych lokalizacjach, do których konto ma prawo zapisu. Może również dodać mechanizm automatycznego startu, na przykład wpis w ustawieniach uruchamiania użytkownika lub zadanie zaplanowane. Konkretne zachowanie zależy od wariantu złośliwego oprogramowania. Jedne trojany służą głównie do kradzieży haseł zapisanych w przeglądarce, inne pobierają kolejne moduły, rejestrują naciśnięcia klawiszy, uzyskują zdalny dostęp albo szyfrują pliki po dostarczeniu dodatkowego ładunku.

Niepokojącymi objawami mogą być nagłe alerty programu antywirusowego, samoczynne uruchamianie nieznanych procesów, wysoka aktywność procesora lub dysku bez widocznej przyczyny, nowe rozszerzenia przeglądarki, zmiana strony startowej oraz połączenia sieciowe do nieznanych adresów. Pojedynczy objaw nie stanowi dowodu infekcji, ponieważ podobne zachowanie mogą powodować legalne aktualizacje albo uszkodzone aplikacje. Istotna jest korelacja czasu: jeżeli problemy pojawiły się bezpośrednio po otwarciu podejrzanego załącznika, należy zachować wiadomość, nazwę pliku i komunikaty zabezpieczeń do dalszej analizy.

Bezpieczne postępowanie z podejrzaną wiadomością

Nie należy otwierać podejrzanego załącznika w celu sprawdzenia jego zawartości ani odpowiadać nadawcy z poziomu tej samej wiadomości. Przed otwarciem dokumentu warto zweryfikować adres nadawcy, domenę, oczekiwany kontekst korespondencji oraz sposób przekazania dokumentu innym kanałem. Sam wyświetlany podpis lub nazwa kontaktu nie potwierdza autentyczności, ponieważ mogą zostać sfałszowane. Wiadomość można oznaczyć jako spam lub phishing w używanym kliencie pocztowym, a plik przekazać do analizy wyłącznie za pomocą procedury, która nie uruchamia jego zawartości.

Jeżeli załącznik został uruchomiony, rozsądnym działaniem jest odłączenie komputera od sieci, aby ograniczyć możliwość dalszej komunikacji trojana, oraz pozostawienie urządzenia w stanie pozwalającym na zebranie informacji diagnostycznych. Nie powinno się pochopnie usuwać wszystkich plików, wyłączać zabezpieczeń ani instalować przypadkowych programów „naprawczych”, ponieważ może to zniszczyć ślady i utrudnić ustalenie przyczyny. Należy przeskanować system aktualnym narzędziem ochronnym, sprawdzić ostatnio uruchamiane aplikacje i przeanalizować mechanizmy autostartu. Hasła wpisywane po uruchomieniu nieznanego pliku należy zmienić z zaufanego urządzenia, szczególnie jeśli trojan mógł przechwytywać dane uwierzytelniające.

Usuwanie skutków trojana na laptopie i komputerze PC

Naprawa po infekcji wymaga rozróżnienia między samym plikiem dostarczonym w wiadomości a zmianami wykonanymi przez jego uruchomienie. Weryfikacji mogą wymagać procesy, wpisy autostartu, zadania zaplanowane, rozszerzenia przeglądarek, ustawienia zapory oraz pliki utworzone w czasie zdarzenia. Jeżeli złośliwy program pobrał dodatkowe komponenty albo uzyskał uprawnienia administratora, zwykłe skasowanie załącznika nie usuwa całego problemu. W poważniejszych przypadkach bezpieczniejszym rozwiązaniem może być odtworzenie systemu z wiarygodnej kopii lub ponowna instalacja po zabezpieczeniu potrzebnych danych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego przy podejrzeniu infekcji można zlecić sprawdzenie systemu, ocenę objawów oraz przywrócenie prawidłowego działania urządzenia. Diagnostyka powinna obejmować także aktualizacje systemu i aplikacji, kontrolę programów uruchamianych wraz ze startem oraz sprawdzenie, czy komputer nie wykazuje dalszej nietypowej aktywności. Po zakończeniu prac użytkownik powinien usunąć podejrzaną wiadomość, korzystać z aktualnego oprogramowania ochronnego i traktować nieoczekiwane załączniki jako potencjalnie niebezpieczne, nawet gdy wyglądają jak zwykłe dokumenty.