zainfekowany XLS

Zainfekowany XLS to plik Excela zawierający makro dostarczające szkodliwe oprogramowanie.

Zainfekowany XLS – czym jest plik Excela z zagrożeniem

Zainfekowany XLS to arkusz zapisany w starszym formacie programu Microsoft Excel, w którym umieszczono treści lub mechanizmy mogące doprowadzić do uruchomienia szkodliwego działania na komputerze. Najczęściej zagrożenie wiąże się z makrem, czyli zestawem poleceń automatyzujących pracę z arkuszem. Samo rozszerzenie .xls nie oznacza jeszcze infekcji, ponieważ w tym formacie mogą znajdować się również zwykłe, bezpieczne dokumenty. Problem pojawia się wtedy, gdy plik zawiera złośliwy kod, odsyłacze do niebezpiecznych lokalizacji, spreparowane obiekty albo instrukcje nakłaniające do zmiany ustawień zabezpieczeń.

Plik może trafić na komputer jako załącznik wiadomości, dokument pobrany z internetu, element archiwum ZIP albo arkusz przekazany przez komunikator. Często nazwa sugeruje pilność lub ważność dokumentu, na przykład rozliczenie, zestawienie, formularz albo raport. Po otwarciu może pojawić się komunikat o konieczności włączenia zawartości, makr lub edycji. Takie polecenie bywa elementem socjotechniki, a nie rzeczywistym warunkiem odczytania danych. Zainfekowany XLS może próbować uruchomić dodatkowy program, zmodyfikować ustawienia systemu, wykraść dane logowania albo pobrać następne składniki infekcji.

Zainfekowany XLS a makra, rozszerzenia i nowszy format arkusza

W starszych plikach XLS mogą być przechowywane makra VBA. Makra mają zastosowania zgodne z przeznaczeniem, na przykład automatyzują powtarzalne obliczenia lub porządkują dane. Z tego powodu obecność makra nie jest samodzielnym dowodem zainfekowania dokumentu. Ocena wymaga sprawdzenia, jakie działania wykonuje kod, z jakimi obiektami systemu się komunikuje oraz czy próbuje uruchamiać polecenia niezwiązane z treścią arkusza.

Warto odróżnić XLS od XLSX. Format XLSX zwykle nie przechowuje makr VBA w tej samej postaci, a dokument zawierający makra jest najczęściej zapisywany jako XLSM. Nie oznacza to jednak, że każdy XLSX jest bezpieczny. Złośliwe działanie może być ukryte w odnośnikach, osadzonych obiektach, podatnościach programu, skryptach uruchamianych poza arkuszem lub w pliku dołączonym do dokumentu. Różnica między rozszerzeniami pomaga w ocenie ryzyka, ale nie zastępuje analizy źródła dokumentu i zachowania programu po otwarciu.

Ochrona antywirusowa może wykryć znane próbki, lecz przy nowych wariantach nie zawsze pojawia się jednoznaczny komunikat. Czasem złośliwy arkusz nie zawiera pełnego ładunku, tylko pobiera go dopiero po uruchomieniu makra. W takiej sytuacji ważne są również informacje o procesach, połączeniach sieciowych, zmianach w katalogach startowych oraz nowych zadaniach uruchamianych automatycznie. Nie powinno się zakładać, że brak ostrzeżenia oznacza brak zagrożenia.

Zainfekowany XLS – typowe objawy otwarcia dokumentu

Objawy mogą być widoczne od razu albo wystąpić dopiero po pewnym czasie. Do często spotykanych sygnałów należą nietypowe okna z prośbą o włączenie makr, samoczynne otwieranie dodatkowych dokumentów, znikające lub zmienione dane w arkuszach, spowolnienie pracy programu, pojawienie się nieznanych plików oraz komunikaty o błędach, które wcześniej nie występowały. Podejrzane może być także uruchamianie aplikacji biurowej bez wyraźnej przyczyny, zwłaszcza krótko po otwarciu załącznika.

Nie każda awaria po otwarciu arkusza oznacza infekcję. Przyczyną mogą być uszkodzenie pliku, niezgodność wersji programu, brak czcionki, błędne odwołania do danych lub konflikt dodatku. Ryzyko rośnie jednak wtedy, gdy dokument pochodzi z nieznanego adresu, wiadomość zawiera presję czasu, nazwa nadawcy jest podobna do znanej osoby albo plik został dostarczony jako nieoczekiwany załącznik. Szczególnej ostrożności wymagają dokumenty, które proszą o wyłączenie ochrony, zezwolenie na zawartość zewnętrzną lub potwierdzenie uruchomienia makr.

Konsekwencje mogą obejmować utratę poufności dokumentów, przejęcie zapisanych sesji, zmianę plików, blokowanie dostępu do danych oraz dalsze rozprzestrzenianie się zagrożenia na inne katalogi użytkownika. W przypadku komputera używanego do pracy istotne jest również ustalenie, czy dokument był otwierany na koncie z szerokimi uprawnieniami oraz czy w tym samym czasie używano poczty, bankowości lub innych ważnych usług.

Zainfekowany XLS – praktyczne wskazówki po podejrzanym otwarciu

Po otwarciu podejrzanego arkusza nie należy włączać makr ani zatwierdzać komunikatów, których znaczenie nie jest jasne. Jeżeli dokument nadal jest wyświetlany, można go zamknąć bez zapisywania zmian. Gdy pojawiają się oznaki nietypowej aktywności, wskazane jest odłączenie komputera od internetu, o ile nie utrudni to zabezpieczenia materiału potrzebnego do analizy. Nie powinno się od razu usuwać wszystkich podejrzanych plików, ponieważ ich zachowanie i lokalizacja mogą pomóc w ustaleniu przebiegu zdarzenia.

Warto zanotować nazwę dokumentu, źródło wiadomości, przybliżony moment otwarcia i komunikaty wyświetlone przez program. Należy też sprawdzić, czy po otwarciu nie powstały nowe pliki, skróty lub aplikacje oraz czy nie zmieniły się ustawienia programu. Skanowanie powinno być wykonane aktualnym narzędziem ochronnym, najlepiej po zamknięciu dokumentu. Samo skasowanie arkusza nie musi usunąć skutków, jeśli wcześniej uruchomiono kod, pobrano dodatkowy plik albo zmodyfikowano ustawienia systemu.

Jeżeli na komputerze były zapisane hasła, tokeny sesyjne lub dane dostępowe, należy rozważyć ich zmianę z innego, zaufanego urządzenia. Nie powinno się logować do ważnych usług z potencjalnie zainfekowanego systemu przed zakończeniem sprawdzenia. Kopie zapasowe mogą ułatwić odtworzenie danych, lecz powinny być podłączane dopiero po ocenie, czy same nie zawierają zmodyfikowanych plików.

Kiedy zainfekowany XLS wymaga zgłoszenia do serwisu

Do serwisu warto zgłosić się wtedy, gdy makro zostało uruchomione, plik pochodził z nieznanego źródła, pojawiły się nowe procesy lub programy, dokumenty zaczęły zmieniać nazwy, a komputer wyraźnie zwolnił. Pomoc jest również wskazana, gdy nie można ustalić, czy plik był tylko uszkodzony, czy faktycznie uruchomił niepożądane działania. W Warszawie analizę takiego przypadku można zlecić firmie Warszawskie Pogotowie Komputerowe 24/7, przekazując możliwie dokładny opis zdarzenia oraz sam dokument, jeżeli jego bezpieczne przekazanie jest możliwe.

Przed przekazaniem sprzętu nie należy ponownie otwierać arkusza w celu sprawdzenia, czy problem nadal występuje. Przydatne będzie zachowanie wiadomości źródłowej wraz z nagłówkami, informacji o używanym programie oraz listy czynności wykonanych po otwarciu pliku. W przypadku podejrzenia wycieku danych konieczne może być równoległe zabezpieczenie kont i poinformowanie osoby odpowiedzialnej za dane.

Ważne jest także odróżnienie czyszczenia pojedynczego dokumentu od pełnej oceny komputera. Jeżeli zainfekowany XLS tylko wywołał ostrzeżenie i nie uruchomiono makra, zakres działań może być ograniczony. Jeżeli jednak doszło do wykonania kodu, potrzebne może być sprawdzenie procesów, autostartu, przeglądarek, plików tymczasowych, ustawień zabezpieczeń i kopii zapasowych. Dopiero po takiej ocenie można rozsądnie zdecydować, czy wystarczy usunięcie zagrożenia, przywrócenie ustawień, czy odtworzenie systemu z zaufanego źródła.