złośliwy ZIP

Złośliwy ZIP to spakowane archiwum ukrywające przed filtrami szkodliwą zawartość.

Po co napastnik pakuje szkodliwy plik

Archiwum ZIP jest dla filtrów pocztowych workiem, którego zawartość trzeba najpierw rozpakować, żeby ocenić. Napastnik korzysta z tego na kilka sposobów. Najprostszy to ukrycie pliku wykonywalnego, którego brama pocztowa nie przepuściłaby w postaci gołej. Drugi to archiwum zabezpieczone hasłem podanym w treści listu — filtr nie potrafi go otworzyć, a odbiorca owszem, bo hasło ma podane obok. Trzeci to zagnieżdżanie archiwów jedno w drugim albo używanie mniej typowych formatów kompresji obsługiwanych przez programy użytkownika, lecz nie przez skaner na serwerze.

Co siedzi w środku i dlaczego wygląda niewinnie

Wewnątrz rzadko leży dziś zwykły plik exe. Częstsze są skrypty: pliki js, vbs, wsf uruchamiane przez systemowy host skryptów, skróty lnk z poleceniem wywołującym PowerShell z zakodowanym parametrem, pliki iso i img montowane w Windows jednym kliknięciem jako napęd, wreszcie dokumenty pakietu biurowego z makrami. Kluczową rolę odgrywa domyślne ukrywanie rozszerzeń znanych typów plików w Eksploratorze — użytkownik widzi nazwę faktura_2024.pdf, a w rzeczywistości otwiera faktura_2024.pdf.js z ikoną podmienioną na wyglądającą jak dokument. Wyłączenie tego ukrywania w opcjach widoku Eksploratora to jedna z najskuteczniejszych i najtańszych zmian, jakie da się wprowadzić na firmowych stanowiskach.

Warstwy obrony i miejsca, w których zawodzą

Filtr na bramie pocztowej wycina typowe rozszerzenia, ale nie poradzi sobie z archiwum zaszyfrowanym. Skaner na stacji roboczej działa dopiero w momencie zapisu lub uruchomienia, więc liczy się to, czy jest włączona ochrona w czasie rzeczywistym i czy bazy są aktualne. Trzecią warstwą jest znacznik pochodzenia z internetu dopisywany do pobranych plików, dzięki któremu pakiet Office otwiera dokument w widoku chronionym z zablokowanymi makrami — ale rozpakowanie archiwum niektórymi programami ten znacznik gubi i zabezpieczenie przestaje działać. Czwartą są zasady blokujące uruchamianie skryptów z katalogów tymczasowych. Najsłabszym ogniwem pozostaje jednak sytuacja, w której załącznik przychodzi z prawdziwego, przejętego konta znanego kontrahenta i stanowi odpowiedź w istniejącym wątku korespondencji — wtedy nie pomaga żadna heurystyka nadawcy.

Po otwarciu podejrzanego załącznika

Jeżeli plik został uruchomiony, liczy się czas i kolejność działań. Warszawskie Pogotowie Komputerowe zaczyna w takich zgłoszeniach od odcięcia komputera od sieci, żeby zatrzymać ewentualne szyfrowanie zasobów na dyskach sieciowych, a dopiero potem od analizy, co się uruchomiło i czy zostawiło po sobie wpisy uruchamiane przy starcie systemu. Przy podejrzeniu szyfrowania danych najpierw wykonujemy obraz nośnika, bo każda próba samodzielnej naprawy może zniszczyć to, co jeszcze da się odzyskać. Sprzęt odbieramy własnymi kierowcami, działamy przez całą dobę we wszystkie dni tygodnia, a na czas pracy nad zainfekowaną maszyną możemy udostępnić laptop zastępczy.