złośliwy załącznik

Złośliwy załącznik to plik zawierający szkodliwy kod uruchamiany po jego otwarciu.

Nośnik kodu udający zwykły dokument

Złośliwy załącznik to plik, którego otwarcie uruchamia kod atakującego. Rodziny są cztery. Pierwsza to pliki wykonywalne i skrypty - exe, scr, bat, cmd, js, vbs, ps1, hta oraz skróty lnk z poleceniem ukrytym w polu docelowym. Druga to dokumenty z makrami, czyli docm, xlsm i dotm, gdzie kod siedzi w module Visual Basic. Trzecia to archiwa i obrazy nośników - zip, rar, iso, img - służące jako opakowanie dla poprzednich. Czwarta to pliki html i pdf zawierające skrypt lub odsyłacz do strony wyłudzającej dane.

Wyścig zabezpieczeń i sposobów ich omijania

Windows oznacza pliki pobrane z internetu dodatkowym atrybutem znanym jako znacznik pochodzenia. Dokument z takim oznaczeniem otwiera się w widoku chronionym, a od kilku lat makra w plikach oznaczonych jako pochodzące z sieci są domyślnie blokowane bez możliwości włączenia jednym kliknięciem. Odpowiedzią atakujących stało się pakowanie ładunku w obrazy iso i archiwa, z których wypakowane pliki dawniej gubiły oznaczenie. Stąd charakterystyczny scenariusz: mail z fakturą, w załączniku archiwum chronione hasłem podanym w treści listu - hasło nie chroni odbiorcy, tylko uniemożliwia skanowanie zawartości przez bramkę pocztową. Klasykiem pozostaje podwójne rozszerzenie w rodzaju zestawienie.pdf.exe, groźne dlatego, że Eksplorator plików domyślnie ukrywa rozszerzenia znanych typów.

Sygnały ostrzegawcze i pierwsze minuty po otwarciu

Podejrzenie powinny budzić: żółty pasek z prośbą o włączenie zawartości, załącznik nieprzystający do treści listu, nadawca z domeny łudząco podobnej do znanej, a także faktura od kontrahenta, z którym akurat nic nie ustalano. Jeśli plik już został otwarty, liczy się kolejność działań: odłączenie kabla sieciowego i wyłączenie Wi-Fi, pozostawienie komputera włączonego do czasu diagnostyki i niezwłoczna zmiana haseł z innego, czystego urządzenia. Wyłączenie zasilania przy trwającym szyfrowaniu potrafi zostawić pliki w stanie częściowo przetworzonym, a restart kasuje ślady w pamięci potrzebne do ustalenia, co się stało.

Reakcja na incydent i odzyskanie danych

Przyjmujemy takie zgłoszenia o każdej porze, także w nocy i w weekend, bo szyfrowanie danych nie czeka do poniedziałku. Zaczynamy od obrazu dysku, żeby nie zniszczyć dowodów ani szans na odzyskanie plików, ustalamy drogę infekcji i sprawdzamy, czy nie objęła zasobów sieciowych i kopii zapasowych. Przy komputerach firmowych z bazami systemów sprzedażowych osobno weryfikujemy stan bazy SQL i kopii bezpieczeństwa. Sprzęt odbieramy własnym transportem, a na czas prac możemy podstawić laptopa zastępczego.