zainfekowany dokument

Zainfekowany dokument to plik zawierający szkodliwy kod uruchamiany po jego otwarciu.

Zainfekowany dokument – czym jest i dlaczego stanowi zagrożenie

Zainfekowany dokument to plik, w którym oprócz zwykłej treści może znajdować się mechanizm wykorzystujący funkcje programu do wykonania niepożądanych działań. Nie musi to być dokument wyglądający podejrzanie. Może przypominać fakturę, formularz, umowę, raport, arkusz kalkulacyjny albo skan pisma. Sam wygląd nazwy, rozszerzenia i ikony nie daje pewności, że plik jest bezpieczny. Zagrożenie może zostać ukryte w makrach, osadzonych obiektach, elementach aktywnych, odnośnikach, skryptach lub podatności programu używanego do otwierania dokumentu.

Ryzyko pojawia się przede wszystkim wtedy, gdy dokument zostaje otwarty w aplikacji obsługującej dodatkowe funkcje, a następnie użytkownik zezwala na ich uruchomienie. Czasem wystarczy kliknięcie przycisku z prośbą o włączenie zawartości, edycji albo obsługi makr. W innych przypadkach szkodliwe działanie może wykorzystać błąd w nieaktualnym programie. Po uruchomieniu kod może próbować pobrać kolejny plik, zmienić ustawienia systemu, odczytać dane, zaszyfrować dokumenty lub uzyskać dostęp do zasobów dostępnych z danego konta.

Nie każdy nieprawidłowy dokument jest zainfekowany. Uszkodzony plik może nie otwierać się z powodu błędu zapisu, niezgodnej wersji aplikacji albo przerwanego pobierania. Dokument zainfekowany może natomiast otwierać się pozornie prawidłowo, a niepokojące działania pojawiają się dopiero po włączeniu zawartości dodatkowej. Dlatego ocena powinna obejmować nie tylko sam plik, lecz także sposób jego otrzymania, zachowanie programu i późniejsze objawy w systemie.

Zainfekowany dokument a zwykły załącznik i podejrzany link

Zwykły załącznik zawiera treść, której można użyć bez uruchamiania dodatkowego kodu. Dokument zawierający aktywne elementy działa inaczej, ponieważ program może próbować wykonać instrukcje zapisane wewnątrz pliku. Nie oznacza to, że każdy arkusz z formułami lub każdy dokument z tabelą jest szkodliwy. Formuła obliczeniowa, obraz czy wykres mogą być normalną częścią pliku. Większej ostrożności wymagają elementy, które proszą o zmianę ustawień bezpieczeństwa, uruchomienie makr albo dostęp do zewnętrznych zasobów.

Warto odróżnić zainfekowany dokument od wiadomości zawierającej wyłącznie link. Link może prowadzić do strony imitującej panel logowania, fałszywego formularza lub pobrania kolejnego pliku. Z kolei dokument może zawierać odnośnik, który przenosi do takiej strony dopiero po kliknięciu. W obu przypadkach znaczenie ma kontekst: nieoczekiwana wiadomość, presja czasu, nietypowy język, zmieniony adres nadawcy, prośba o poufne dane lub polecenie wyłączenia ochrony powinny skłaniać do wstrzymania działania.

Nie należy oceniać bezpieczeństwa wyłącznie po rozszerzeniu. Plik może mieć kilka rozszerzeń, ukryte zakończenie nazwy albo ikonę kojarzoną z innym typem zawartości. Istotne jest także to, czy dokument został pobrany z wiarygodnego źródła, czy był wcześniej oczekiwany i czy jego treść odpowiada prowadzonej sprawie. Wiadomość od znanego nadawcy również nie daje pełnej pewności, ponieważ jego konto mogło zostać przejęte albo adres nadawcy mógł zostać podrobiony.

Ochrona antywirusowa może rozpoznać część zagrożeń na podstawie znanych wzorców, lecz nie wykrywa każdego nowego wariantu. Z tego powodu skanowanie jest ważnym elementem kontroli, ale nie zastępuje ostrożności. Bezpieczniejsze jest nieotwieranie nieoczekiwanego załącznika, potwierdzenie jego pochodzenia innym kanałem i sprawdzenie pliku w aktualnym środowisku ochronnym.

Objawy, które może powodować zainfekowany dokument

Po otwarciu podejrzanego pliku nie zawsze pojawia się wyraźny komunikat. Czasem dokument wyświetla pustą stronę, nieczytelną treść albo prośbę o włączenie zawartości. Może także pojawić się okno z żądaniem podania hasła, zezwolenia na dostęp do zasobów lub potwierdzenia uruchomienia dodatkowych funkcji. Niepokój powinny budzić również nagłe zamknięcie aplikacji, jej zawieszanie się, samoczynne otwieranie nowych okien, przekierowania do stron internetowych oraz komunikaty, których wcześniej nie wyświetlano.

W systemie mogą wystąpić objawy pośrednie. Należą do nich spowolnienie działania, wzmożona aktywność dysku, nieznane procesy, zmiany w ustawieniach przeglądarki, nowe rozszerzenia, zablokowanie plików, zmiana nazw dokumentów, zniknięcie dostępu do folderów lub nietypowe komunikaty przy uruchamianiu komputera. Pojedynczy symptom nie przesądza jeszcze o infekcji, ponieważ podobne zachowanie może wynikać z problemów z dyskiem, pamięcią, aktualizacją lub konfliktem programów. Zestawienie kilku objawów po otwarciu jednego załącznika wymaga jednak szybkiej reakcji.

Szczególną uwagę należy zwrócić na dokumenty, po których otwarciu zaczynają pojawiać się problemy z innymi plikami. Jeżeli nie można ich otworzyć, zmieniły się ich nazwy albo system wyświetla żądanie zapłaty za odzyskanie dostępu, nie powinno się podejmować przypadkowych działań. Nie należy usuwać śladów, instalować wielu narzędzi jednocześnie ani nadpisywać plików kolejnymi próbami zapisu. W takiej sytuacji ważne jest ograniczenie dalszych zmian i zachowanie informacji o tym, kiedy dokument został otwarty oraz jakie komunikaty pojawiły się na ekranie.

Bezpieczne postępowanie po otwarciu zainfekowanego dokumentu

Jeżeli podejrzany plik został otwarty, należy przerwać dalszą pracę z dokumentem i zamknąć aplikację. Nie powinno się zatwierdzać próśb o włączenie makr, aktywnej zawartości, połączeń zewnętrznych ani dodatkowych uprawnień. Gdy aplikacja nie reaguje, można użyć standardowych funkcji systemu do jej zamknięcia. Jeżeli widoczne są oznaki przejęcia kontroli, szybkiego szyfrowania plików lub masowych zmian, warto odłączyć komputer od sieci, aby ograniczyć możliwość komunikacji z innymi urządzeniami i zasobami.

Nie należy od razu kasować podejrzanego załącznika, ponieważ może on pomóc w ustaleniu źródła problemu. Należy zachować wiadomość, nazwę pliku, adres nadawcy i przybliżony czas otwarcia. Nie powinno się jednak przesyłać tego dokumentu dalej ani otwierać go na innym komputerze w celu samodzielnego porównania. Jeżeli komputer jest używany do pracy z kontami pocztowymi, bankowością lub dokumentami firmowymi, z innego, bezpiecznego urządzenia można zmienić hasła i zakończyć aktywne sesje. Hasła nie powinny być zmieniane na komputerze, którego bezpieczeństwo budzi wątpliwości.

Przydatne jest wykonanie pełnego skanowania aktualnym programem ochronnym oraz sprawdzenie systemu pod kątem nieznanych aplikacji i zmian w ustawieniach. W przypadku podejrzenia szyfrowania danych najważniejsze staje się zabezpieczenie kopii zapasowych i niedopuszczenie do ich nadpisania. Kopia podłączona stale do komputera może również zostać zmieniona, dlatego jej stan powinien być oceniany osobno. Samo usunięcie wykrytego pliku nie zawsze rozwiązuje problem, gdyż dodatkowe elementy mogły zostać zapisane w innych miejscach.

Dokumenty robocze powinny być przechowywane w kopiach zapasowych, a programy do ich otwierania regularnie aktualizowane. Warto pozostawić wyłączone makra dla plików pochodzących z internetu, korzystać z ograniczonych uprawnień użytkownika i nie pracować na co dzień z kontem mającym pełny dostęp do systemu. Takie działania zmniejszają skutki pomyłki, choć nie zapewniają całkowitej odporności na każdy rodzaj zagrożenia.

Kiedy zainfekowany dokument wymaga pomocy serwisu

Zgłoszenie do serwisu jest uzasadnione, gdy po otwarciu dokumentu pojawiają się trwałe objawy, ochrona systemu zgłasza zagrożenie, pliki znikają lub zmieniają nazwy, komputer zaczyna działać nietypowo albo nie ma pewności, czy infekcja została usunięta. Pomoc może być potrzebna również wtedy, gdy dokument został otwarty na komputerze używanym do poczty, pracy z danymi klientów lub przechowywania ważnych kopii zapasowych. Wcześniejsze przerwanie pracy i przekazanie dokładnego opisu zdarzenia ułatwia ocenę sytuacji.

W Warszawie sprawdzenie komputera po podejrzeniu takiego zdarzenia można zlecić firmie Warszawskie Pogotowie Komputerowe 24/7, kontaktując się pod numerem +48 22 100 48 29. Podczas zgłoszenia warto przekazać nazwę pliku, źródło wiadomości, czas otwarcia, zastosowane działania oraz opis komunikatów. Ułatwia to rozróżnienie infekcji od uszkodzenia dokumentu, problemu z aplikacją lub awarii nośnika danych.

Do czasu sprawdzenia urządzenia nie powinno się otwierać kolejnych podejrzanych załączników, podłączać nieznanych nośników ani logować się do najważniejszych usług na potencjalnie zagrożonym komputerze. Jeżeli dostępne są kopie zapasowe, należy ich nie przywracać przed oceną stanu systemu. Właściwe postępowanie polega na ograniczeniu dalszych zmian, zachowaniu dowodów zdarzenia i przekazaniu urządzenia do kontroli, gdy objawy wskazują na możliwość działania szkodliwego kodu.