trojan w phishingu

Trojan w phishingu to szkodliwy plik dołączony do wiadomości wyłudzającej dane.

Co dokładnie przychodzi w załączniku

Bezpośrednie przesyłanie plików wykonywalnych jest dziś blokowane przez większość bramek pocztowych, więc napastnicy pakują ładunek inaczej. Popularne nośniki to obrazy dysków w formatach ISO i IMG, archiwa chronione hasłem podanym w treści listu, skróty systemowe z rozszerzeniem LNK uruchamiające interpreter poleceń oraz dokumenty biurowe z makrami w formatach DOCM i XLSM. Osobną techniką jest przemycanie kodu w załączniku HTML, który sam składa plik już w przeglądarce odbiorcy, dzięki czemu przez skaner przechodzi tylko niewinnie wyglądający tekst.

Dlaczego archiwum i obraz dysku są tak wygodne dla napastnika

Windows oznacza pliki pobrane z internetu specjalnym atrybutem informującym, że pochodzą z niezaufanego źródła — to na jego podstawie Office domyślnie blokuje uruchamianie makr, a system wyświetla ostrzeżenie SmartScreen. Zawartość zamontowanego obrazu ISO oraz plików wypakowanych niektórymi archiwizatorami potrafi tego oznaczenia nie odziedziczyć, więc ostrzeżenie się nie pojawia. Do tego archiwum zaszyfrowane hasłem jest dla skanera antywirusowego nieczytelne — sprawdzić może dopiero to, co użytkownik sam wypakuje. Stąd charakterystyczna konstrukcja takich wiadomości: hasło do załącznika podane wprost w treści listu, rzekomo dla bezpieczeństwa.

Objawy i pierwsze kroki po otwarciu załącznika

Sygnałem ostrzegawczym jest uruchomienie się nietypowego procesu tuż po otwarciu dokumentu — interpreter poleceń z długim, zakodowanym parametrem, wywołanie biblioteki systemowej przez rundll32 albo aplikacja skryptowa mshta. Dalej pojawiają się wpisy w autostarcie i zadania w harmonogramie zadań, uruchamiane co kilkanaście minut. Najgroźniejsza rodzina to programy wykradające dane logowania: opróżniają magazyn haseł przeglądarki i ciasteczka sesji, co oznacza, że sama dezynfekcja komputera nie wystarcza. Po takiej infekcji trzeba zmienić hasła do poczty, bankowości i panelu firmowego — z innego, czystego urządzenia — oraz unieważnić aktywne sesje. Odłączenie komputera od sieci przed czyszczeniem ogranicza dalszy wyciek. Płacenie okupu czy uruchamianie kolejnych narzędzi z tego samego źródła tylko pogarsza sytuację.

Czyszczenie zainfekowanego komputera i profilaktyka

Do naszego serwisu takie zgłoszenia trafiają zwykle dzień po otwarciu faktury od nieznanego kontrahenta. Zaczynamy od skanowania nośnika poza uruchomionym systemem, żeby szkodnik nie mógł się bronić, przeglądamy autostart i zadania cykliczne, a jeżeli infekcja sięgnęła głęboko, doradzamy czystą instalację z zachowaniem danych, bo to jedyne rozwiązanie dające pewność. Firmom ustawiamy przy okazji blokadę makr z internetu i regularne kopie zapasowe trzymane poza komputerem. Na czas pracy nad zainfekowaną maszyną udostępniamy laptop zastępczy.