wysyłka e-maili z zainfekowanymi linkami

Wysyłka e-maili z zainfekowanymi linkami to skutek przejęcia konta lub systemu mailingowego przez atakującego.

Jak dochodzi do wysyłki złośliwych odnośników

Wysyłka e-maili z zainfekowanymi linkami jest zwykle oznaką, że osoba nieuprawniona uzyskała dostęp do konta pocztowego, konta używanego przez aplikację albo systemu odpowiedzialnego za wysyłkę wiadomości. Atakujący może wykorzystać hasło przejęte podczas wycieku, hasło wpisane na fałszywej stronie logowania, złośliwe oprogramowanie zapisujące dane uwierzytelniające albo aktywną sesję przeglądarki. Jeżeli konto nie korzysta z dodatkowego składnika uwierzytelniania, samo poznanie hasła może wystarczyć do zalogowania.

Złośliwy odnośnik w wiadomości może prowadzić do strony podszywającej się pod bank, dostawcę poczty, sklep internetowy lub firmowy panel logowania. Może również kierować do pliku albo skryptu próbującego wykorzystać nieaktualne oprogramowanie. Samo wyświetlenie wiadomości zazwyczaj nie oznacza uruchomienia programu, ale kliknięcie linku może otworzyć stronę wyłudzającą dane, rozpocząć pobieranie pliku lub przekierować przez kilka domen w celu ukrycia właściwego adresu.

Ślady przejęcia konta i systemu

Charakterystycznym sygnałem jest pojawienie się w folderze „Wysłane” wiadomości, których użytkownik nie przygotował, albo informacje od znajomych i kontrahentów o otrzymaniu podejrzanych e-maili. Warto sprawdzić także reguły automatycznego sortowania poczty, przekierowania, dodatkowe adresy odzyskiwania oraz listę aktywnych sesji. Atakujący może utworzyć regułę przenoszącą odpowiedzi do ukrytego folderu, dzięki czemu właściciel konta nie zauważy reakcji odbiorców ani komunikatów ostrzegawczych.

Nie każda podejrzana wiadomość oznacza bezpośrednie przejęcie skrzynki. Nadawca widoczny w programie pocztowym może zostać sfałszowany, a wiadomość może pochodzić z innego systemu. Rozróżnienie wymaga analizy nagłówków, zwłaszcza pól opisujących serwery pośredniczące, wynik kontroli SPF, podpis DKIM oraz politykę DMARC domeny nadawcy. Mechanizmy te pomagają ocenić, czy wiadomość została wysłana z uprawnionej infrastruktury, ale nie gwarantują bezpieczeństwa samego linku ani komputera odbiorcy.

Postępowanie po wykryciu podejrzanej korespondencji

Po stwierdzeniu nieautoryzowanej wysyłki należy zmienić hasło zaufanego konta, najlepiej używając innego, sprawdzonego urządzenia. Nowe hasło nie powinno być używane w innych serwisach. Trzeba również zakończyć aktywne sesje, usunąć nieznane urządzenia i aplikacje mające dostęp do konta oraz włączyć uwierzytelnianie wieloskładnikowe, jeżeli dostawca poczty je udostępnia. Sama zmiana hasła może być niewystarczająca, gdy atakujący zachował ważny token sesji albo utworzył dodatkową metodę dostępu.

Na komputerze należy sprawdzić, czy nie ma zainstalowanych nieznanych programów, rozszerzeń przeglądarki i procesów uruchamianych automatycznie. Skanowanie powinno zostać wykonane aktualnym programem ochronnym, a system operacyjny, przeglądarka i aplikacje powinny mieć zainstalowane dostępne poprawki. Jeżeli na podejrzanej stronie podano hasło, trzeba potraktować je jako ujawnione i zmienić również w każdym innym miejscu, w którym było używane. Odbiorców wcześniejszych wiadomości należy ostrzec innym kanałem, bez ponownego rozsyłania złośliwego odnośnika.

Bezpieczne przywrócenie kontroli nad komputerem

Diagnostyka komputera po takim zdarzeniu powinna obejmować nie tylko samą skrzynkę pocztową, lecz także przeglądarkę, autostart, zainstalowane aplikacje, zadania harmonogramu i stan aktualizacji. Istotne jest ustalenie, czy problem dotyczył wyłącznie konta internetowego, czy na komputerze działał program przechwytujący hasła lub dane sesji. W przypadku podejrzenia infekcji nie należy logować się ponownie do ważnych usług z tego samego, niesprawdzonego systemu, ponieważ nowe dane mogą zostać ponownie przechwycone.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów związanych z oprogramowaniem, przeglądarką oraz działaniem systemu. Zakres czynności powinien wynikać z ustalonych objawów i wyników sprawdzenia urządzenia: może obejmować usunięcie niepożądanych programów, uporządkowanie ustawień uruchamiania, aktualizację systemu oraz pomoc w zabezpieczeniu kont po zakończeniu diagnostyki.