To, że nie otwiera się pliku .exe z nieznanej wiadomości, już się rozeszło. Właśnie dlatego groźne załączniki przychodzą dziś jako faktura, list przewozowy albo aplikacja o pracę – w formatach, których nikt nie uważa za niebezpieczne.
Pliki biurowe: makra
Word, Excel i PowerPoint mogą zawierać kod programu, tak zwane makra. Pierwotnie służyły do automatyzacji, ale potrafią też pobrać i uruchomić pliki.
Typowy przebieg: dokument otwiera się i pokazuje rozmytą, rzekomo chronioną treść z informacją, że trzeba „włączyć edytowanie”, aby ją zobaczyć. To właśnie kliknięcie uruchamia makro.
Microsoft domyślnie blokuje już makra w plikach z internetu i bardzo to pomogło. Obchodzi się to kontenerami: plik przychodzi w archiwum albo obrazie dysku, przez co znacznik pochodzenia ginie.
Praktyczna zasada: dokument, który każe Ci cokolwiek włączyć, jest atakiem. Prawdziwe pliki tego nie potrzebują.
PDF: więcej niż obraz papieru
PDF nie jest statycznym obrazem, tylko kontenerem z własnym językiem. Może zawierać:
- JavaScript. Historycznie do obsługi formularzy, wielokrotnie cel podatności.
- Osadzone pliki. PDF może nieść inne pliki, które otwiera się kliknięciem.
- Akcje automatyczne. Na przykład przekierowanie przy otwarciu.
- Formularze wysyłające dane. Wypełnione i wysłane trafiają do napastnika.
Najczęstszy przypadek jest jednak bardziej prozaiczny: PDF zawiera po prostu obrazek i link do podrobionej strony logowania. Żadnego złośliwego kodu, nic, co wykryje skaner – atak dzieje się dopiero w przeglądarce.
Formaty niepozorne
- Archiwa (
.zip,.rar,.7z). Ukrywają zawartość przed prostymi kontrolami. Zaszyfrowane archiwum z hasłem w treści wiadomości to wyraźny sygnał ostrzegawczy – służy wyłącznie obejściu skanowania. .iso,.img,.vhd. Po dwukliku montują się jako napęd. Pliki w środku nie mają już znacznika pochodzenia..lnk. Wygląda jak skrót, a może wykonać dowolne polecenia..svg. Plik graficzny, który może zawierać HTML i JavaScript. Otwarty w przeglądarce staje się stroną.- Podwójne rozszerzenia.
faktura.pdf.exe– Windows domyślnie ukrywa ostatnie rozszerzenie.
Co pomaga
- Czy spodziewasz się tego pliku? Niespodziewana faktura od dostawcy, u którego nic nie zamawiałeś, zawsze jest podejrzana.
- Niczego nie włączaj. Ani makr, ani edytowania, ani wyjścia z widoku chronionego.
- Pokaż rozszerzenia. W Eksploratorze w zakładce Widok włącz rozszerzenia nazw plików.
- Otwieraj w przeglądarce. PDF-y oglądaj w podglądzie przeglądarki albo poczty internetowej zamiast w programie lokalnym – tam działają w odizolowanym środowisku.
- W razie wątpliwości zapytaj, kanałem, który sam wybrałeś. Nie numerem z wiadomości.
Co robimy my
Około czterdziestu wykonywalnych rozszerzeń zasadniczo nie przyjmujemy. Zatrzymuje to przypadki prymitywne i wyraźnie nie jest ochroną antywirusową: przemianowane albo spakowane szkodliwe oprogramowanie przejdzie, a PDF z linkiem do podrobionej strony logowania wygląda niewinnie dla każdej kontroli. Traktuj załączniki w otwartej skrzynce odpowiednio – nie prowadzimy skanowania antywirusowego i wolimy powiedzieć to wprost.