trojan w e-mailu

Trojan w e-mailu udaje legalny plik, uruchamiając w rzeczywistości szkodliwy kod po otwarciu.

Trojan w e-mailu – czym jest takie zagrożenie

Trojan w e-mailu to rodzaj złośliwego oprogramowania, które wykorzystuje wiadomość elektroniczną jako drogę dotarcia do urządzenia. Nadawca, temat, treść oraz załącznik mogą wyglądać podobnie do korespondencji związanej z dostawą, płatnością, dokumentem firmowym, rekrutacją albo obsługą konta. Istotą zagrożenia jest ukrycie rzeczywistego działania programu pod pozorem zwykłego pliku lub informacji wymagającej szybkiej reakcji. Po otwarciu załącznika, uruchomieniu makra, kliknięciu odnośnika albo zaakceptowaniu nietypowego komunikatu może dojść do pobrania kolejnych komponentów i rozpoczęcia działań w systemie.

Nie każdy podejrzany e-mail zawiera trojana. Wiadomość może prowadzić do wyłudzenia hasła, przekierowywać na fałszywą stronę albo nakłaniać do przekazania danych. Trojan różni się tym, że jego celem jest uruchomienie programu na komputerze użytkownika. Taki program może działać w tle i przez pewien czas nie powodować widocznych zmian. Brak komunikatu o błędzie nie oznacza więc, że załącznik był bezpieczny. Szczególnej ostrożności wymagają pliki wykonywalne, dokumenty z nietypowymi rozszerzeniami, archiwa zabezpieczone hasłem oraz załączniki, których otwarcie wymaga włączenia dodatkowych funkcji.

Ryzyko może pojawić się także wtedy, gdy wiadomość pochodzi z adresu znanego wcześniej. Skrzynka kontaktu mogła zostać przejęta, a adres nadawcy może być bardzo podobny do prawdziwego, lecz zawierać dodatkowy znak, inną końcówkę domeny lub literówkę. Warto analizować całą wiadomość, a nie tylko nazwę wyświetlaną przy nadawcy. Znaczenie ma również sposób zwracania się do odbiorcy, zgodność sprawy z wcześniejszą korespondencją oraz oczekiwanie, że dokument zostanie otwarty natychmiast.

Trojan w wiadomości a inne rodzaje złośliwych plików

W praktyce określenie trojan w e-mailu bywa używane szeroko, choć załącznik może zawierać różne typy zagrożeń. Jeden plik może instalować program umożliwiający zdalny dostęp, inny może przechwytywać wpisywane dane, a jeszcze inny może służyć do pobierania kolejnych elementów. Czasem zainfekowany dokument uruchamia skrypt, który wykorzystuje funkcje aplikacji biurowej. W innym przypadku archiwum zawiera plik o nazwie sugerującej dokument, lecz jego prawdziwe rozszerzenie wskazuje na program. Z tego powodu sama ikona pliku nie powinna być podstawą oceny bezpieczeństwa.

Wiadomości zawierające trojana warto odróżnić od klasycznego phishingu. Phishing zwykle ma doprowadzić do wpisania hasła na stronie kontrolowanej przez napastnika, natomiast trojan może rozpocząć działanie po stronie komputera. Oba mechanizmy mogą występować razem. Przykładowo wiadomość może zawierać zainfekowany załącznik, a po jego otwarciu wyświetlić komunikat z odnośnikiem do fałszywego panelu logowania. W efekcie zagrożone są zarówno pliki i ustawienia urządzenia, jak i dane dostępowe do poczty, bankowości lub innych usług.

Istotną różnicą między bezpiecznym dokumentem a niebezpiecznym załącznikiem jest sposób dostarczenia i oczekiwane działanie. Zwykły dokument nie powinien wymagać wyłączenia ochrony, zmiany ustawień zabezpieczeń ani zezwolenia na uruchomienie nieznanej zawartości. Jeżeli wiadomość wywołuje presję czasu, grozi konsekwencjami za brak reakcji albo nakazuje wykonanie kilku nietypowych czynności, należy przerwać działanie i zweryfikować sprawę innym kanałem. Nie powinno się korzystać z numeru telefonu ani adresu podanego wyłącznie w podejrzanej wiadomości.

Trojan w e-mailu – typowe objawy po otwarciu załącznika

Objawy infekcji mogą być wyraźne albo bardzo dyskretne. Do sygnałów ostrzegawczych należą nagłe spowolnienie pracy, samoczynne uruchamianie aplikacji, pojawianie się nieznanych okien, zmiana strony startowej przeglądarki, dodatkowe rozszerzenia oraz nietypowe komunikaty zabezpieczeń. Czasem komputer zaczyna intensywnie korzystać z dysku lub procesora mimo braku aktywności użytkownika. Mogą wystąpić problemy z otwieraniem dokumentów, znikanie plików, zmienione nazwy katalogów albo blokowanie narzędzi ochronnych.

Niepokój powinny wzbudzić także zdarzenia dotyczące samej poczty. Mogą pojawić się wiadomości wysyłane bez wiedzy właściciela skrzynki, powiadomienia o logowaniu z nieznanego urządzenia, zmiany reguł przekazywania korespondencji lub informacje o zmianie hasła, której nie wykonano. Czasami odbiorcy kontaktów zgłaszają otrzymanie dziwnych wiadomości z adresu, który do tej pory był używany prawidłowo. Taki sygnał może wskazywać na przejęcie konta, infekcję urządzenia albo oba problemy jednocześnie.

Ważne jest, aby nie uznawać braku objawów za dowód bezpieczeństwa. Niektóre programy pozostają uśpione, oczekują na określony moment lub działają tylko w wybranych warunkach. Inne skupiają się na kradzieży informacji, dlatego nie powodują widocznego spadku wydajności. Podejrzenie może wynikać z samego faktu uruchomienia niespodziewanego pliku, zwłaszcza gdy pochodził on od nieznanego nadawcy albo wymagał zmiany ustawień ochrony.

Po przypadkowym otwarciu podejrzanego załącznika nie powinno się kontynuować pracy w celu sprawdzenia, co się stanie. Zalecane jest odłączenie komputera od sieci, jeżeli nie utrudnia to zabezpieczenia ważnych danych, oraz zaniechanie logowania do innych usług. Nie należy usuwać pochopnie wszystkich plików, ponieważ może to utrudnić ustalenie przebiegu zdarzenia. Jeżeli urządzenie jest używane do pracy, warto poinformować osoby odpowiedzialne za bezpieczeństwo i opisać dokładnie, co zostało otwarte oraz jakie komunikaty pojawiły się na ekranie.

Trojan w e-mailu – praktyczne wskazówki ochrony

Najskuteczniejszą ochroną jest połączenie ostrożności użytkownika, aktualnego oprogramowania i właściwie skonfigurowanych zabezpieczeń. Wiadomości powinny być oceniane przed otwarciem załącznika. Należy sprawdzić pełny adres nadawcy, temat, kontekst korespondencji oraz to, czy oczekiwano danego dokumentu. Wątpliwe pliki można zweryfikować, kontaktując się z nadawcą przez numer lub adres znany z wcześniejszych, niezależnych źródeł. Nie powinno się odpowiadać na podejrzaną wiadomość z pytaniem, czy jest prawdziwa, ponieważ konto nadawcy może znajdować się pod kontrolą innej osoby.

Bezpieczniejsze jest wyświetlanie rozszerzeń nazw plików w systemie oraz unikanie automatycznego otwierania załączników. Należy zachować ostrożność wobec dokumentów, które mają kilka rozszerzeń, dużą liczbę znaków w nazwie lub nazwę sugerującą fakturę, skan czy potwierdzenie. Archiwa wymagające hasła nie powinny być uruchamiane bez potwierdzenia źródła. W aplikacjach biurowych nie należy włączać makr ani dodatkowych funkcji tylko dlatego, że dokument wyświetla taki komunikat. Warto również korzystać z osobnego, ograniczonego konta użytkownika do codziennej pracy, gdy pozwala na to konfiguracja komputera.

Aktualizacje systemu, przeglądarki, programów pocztowych i aplikacji używanych do otwierania dokumentów ograniczają ryzyko wykorzystania znanych luk. Program ochronny powinien mieć aktualne bazy i włączoną ochronę w czasie rzeczywistym, ale nie zastępuje oceny treści wiadomości. Równie ważne są kopie zapasowe. Powinny być wykonywane regularnie, przechowywane w sposób ograniczający ich dostępność dla złośliwych programów i okresowo sprawdzane przez próbę odtworzenia wybranych danych. Sama obecność kopii nie daje pewności, że da się ją wykorzystać po awarii lub infekcji.

Kiedy zgłosić trojana w e-mailu do serwisu

Do serwisu warto zgłosić się po otwarciu podejrzanego załącznika, uruchomieniu programu z wiadomości, włączeniu makr na żądanie nieznanego dokumentu albo wpisaniu hasła na stronie otwartej z podejrzanego odnośnika. Pomocna może być również konsultacja, gdy komputer zaczyna działać inaczej niż wcześniej, pojawiają się nieznane komunikaty lub z konta pocztowego wysyłane są wiadomości bez zgody użytkownika. Im wcześniej zostanie przerwane korzystanie z zagrożonego urządzenia, tym łatwiej ograniczyć dalsze działania złośliwego programu i zabezpieczyć ważne informacje.

Przed przekazaniem urządzenia dobrze przygotować opis zdarzenia: datę i przybliżoną godzinę otwarcia wiadomości, adres nadawcy, nazwę załącznika, kliknięte odnośniki oraz zauważone objawy. Nie należy przesyłać podejrzanego pliku dalej, jeżeli nie ma takiej potrzeby. Jeżeli istnieje podejrzenie przejęcia poczty, hasło powinno zostać zmienione z bezpiecznego, niezainfekowanego urządzenia, a aktywne sesje i reguły przekazywania wiadomości powinny zostać sprawdzone. W przypadku kont używanych do płatności lub przechowywania ważnych danych wskazane jest szybkie skontaktowanie się z właściwym dostawcą usługi.

Warszawskie Pogotowie Komputerowe 24/7 może pomóc w sprawdzeniu komputera po kontakcie z takim zagrożeniem, ocenie objawów i uporządkowaniu dalszych działań. Podczas diagnostyki analizuje się między innymi uruchamiane programy, ustawienia systemu, elementy startowe, przeglądarkę oraz oznaki nieuprawnionej aktywności. W zależności od wyniku konieczne może być usunięcie złośliwych składników, zabezpieczenie danych, zmiana haseł, przywrócenie prawidłowych ustawień albo ponowna instalacja systemu. Do czasu zakończenia sprawdzania nie powinno się traktować urządzenia jako zaufanego do logowania w ważnych usługach.