złośliwe reguły poczty

Złośliwe reguły poczty to nieautoryzowane filtry ukrywające ślady działania atakującego na przejętym koncie.

Jak działają złośliwe reguły poczty

Złośliwe reguły poczty to nieautoryzowane instrukcje zapisane w ustawieniach konta pocztowego. Ich zadaniem jest automatyczne przetwarzanie wiadomości w sposób korzystny dla osoby, która uzyskała dostęp do konta. Reguła może przenosić określone wiadomości do kosza, archiwum albo rzadko używanego folderu, oznaczać je jako przeczytane, przekazywać dalej lub usuwać. Takie działanie nie musi powodować widocznego błędu w programie pocztowym, ponieważ wiadomości są obsługiwane zgodnie z konfiguracją serwera lub aplikacji.

Atakujący często wykorzystuje reguły do ukrywania powiadomień o logowaniu, zmianie hasła, odpowiedziach na korespondencję albo próbach odzyskania dostępu. Filtr może rozpoznawać wiadomości po adresie nadawcy, temacie, słowach występujących w treści lub nazwie załącznika. Przykładowo, wiadomości zawierające określenia związane z bezpieczeństwem konta mogą być automatycznie przenoszone do folderu, którego użytkownik zwykle nie sprawdza. Reguła sama w sobie nie jest wirusem, lecz może być skutkiem wcześniejszego przejęcia konta.

Ślady przejęcia widoczne poza skrzynką odbiorczą

Jednym z sygnałów problemu jest znikanie wiadomości bez odpowiadającej temu czynności użytkownika. Szczególnej uwagi wymagają komunikaty dotyczące logowania, resetowania hasła, zmian ustawień lub wysyłki poczty, które pojawiają się w folderze „Elementy usunięte”, „Archiwum”, „Spam” albo w nieznanym folderze. Podejrzane są także wiadomości przekazywane do obcego adresu, automatyczne odpowiedzi oraz korespondencja oznaczana jako przeczytana przed jej otwarciem.

Kontrolę należy przeprowadzić w ustawieniach konta pocztowego dostępnych przez przeglądarkę, ponieważ reguły zapisane po stronie usługi mogą nie być w pełni widoczne w każdym kliencie poczty. Warto sprawdzić wszystkie filtry i reguły, adresy automatycznego przekazywania, delegowane dostępy, dodatkowe adresy nadawcze oraz ostatnią aktywność logowania, jeśli dostawca poczty udostępnia taki rejestr. Nieznaną regułę należy traktować jako element wymagający wyjaśnienia, zwłaszcza gdy zawiera warunki dotyczące wiadomości od banku, dostawcy usług, administratora konta lub kontrahenta.

Sama obecność podejrzanego filtra nie wskazuje jeszcze, w jaki sposób doszło do uzyskania dostępu. Możliwe przyczyny obejmują wyłudzenie hasła na fałszywej stronie, użycie tego samego hasła w innym serwisie, złośliwe rozszerzenie przeglądarki, zapisane dane logowania na niezabezpieczonym komputerze albo wykorzystanie aktywnej sesji. Dlatego analiza powinna obejmować również urządzenia używane do logowania oraz inne ustawienia konta, a nie tylko usunięcie pojedynczej reguły.

Porządkowanie reguł i zabezpieczenie konta

Jeżeli konto jest nadal dostępne, pierwszym działaniem powinno być usunięcie nieautoryzowanych reguł i wyłączenie nieznanego przekazywania wiadomości. Następnie należy zmienić hasło na urządzeniu, co do którego nie ma podejrzeń infekcji, oraz wylogować aktywne sesje, jeżeli dostawca poczty oferuje taką funkcję. Nowe hasło nie powinno być używane w innych serwisach. Warto również usunąć nieznane aplikacje mające dostęp do skrzynki, sprawdzić dodatkowe metody odzyskiwania konta i włączyć uwierzytelnianie wieloskładnikowe, jeśli jest dostępne.

Po zmianie ustawień trzeba przejrzeć foldery pocztowe pod kątem wiadomości usuniętych lub przeniesionych przez regułę. Szczególnie istotne są informacje o resetowaniu haseł, zmianach danych kontaktowych, zamówieniach i płatnościach oraz wiadomości, na które atakujący mógł odpowiedzieć w imieniu właściciela konta. W przypadku korespondencji biznesowej warto poinformować odbiorców o możliwości wysłania nieautoryzowanych wiadomości, ale nie należy otwierać podejrzanych załączników ani korzystać z linków znajdujących się w takich wiadomościach.

Jeżeli reguła powraca po usunięciu albo ustawienia zmieniają się ponownie, problem może dotyczyć nadal aktywnej sesji, zapisanych poświadczeń lub innego urządzenia. Wtedy samo porządkowanie skrzynki odbiorczej jest niewystarczające. Należy sprawdzić przeglądarki, programy pocztowe i rozszerzenia, wykonać skanowanie zabezpieczające oraz zweryfikować, czy na komputerze nie ma oprogramowania przechwytującego dane logowania. Czynności trzeba wykonywać ostrożnie, aby nie usunąć ważnej korespondencji potrzebnej do ustalenia przebiegu zdarzenia.

Sprawdzenie komputera używanego do poczty

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC i ich podzespołów, dlatego w przypadku podejrzenia, że złośliwe reguły są następstwem problemu z używanym urządzeniem, można zlecić sprawdzenie jego działania. Diagnostyka może obejmować ocenę systemu, przeglądarki, zainstalowanych rozszerzeń, programów uruchamianych automatycznie oraz oznak obecności niepożądanego oprogramowania. Zakres czynności powinien odpowiadać rzeczywistym objawom i konfiguracji komputera.

Podczas korzystania z poczty na współdzielonym lub publicznie dostępnym urządzeniu nie należy zapisywać hasła ani pozostawiać aktywnej sesji. Własny komputer powinien mieć aktualny system, aktualną przeglądarkę i włączone mechanizmy ochrony przed złośliwym oprogramowaniem. Jeżeli po zmianie hasła i reguł nadal pojawiają się nieznane działania, należy przerwać logowanie z podejrzanego urządzenia do czasu jego sprawdzenia. Takie rozdzielenie problemu konta od problemu komputera ułatwia ustalenie, czy przyczyną jest konfiguracja skrzynki, przejęta sesja, czy oprogramowanie działające lokalnie.