r   e   k   l   a   m   a
r   e   k   l   a   m   a

Biorą dane w okup i by ukryć się przed skanerami, rozmawiają przez komunikatory

Strona główna AktualnościOPROGRAMOWANIE

Zagrożenia typu ransomware są coraz poważniejszym problemem trapiącym wielu użytkowników. Nic tak nie załamuje administratorów, jak zaszyfrowane dokumenty na stacjach roboczych i serwerach. Problem dotyczy jednak nie tylko komputerów, ale i urządzeń mobilnych. Także i tu znajdziemy tego typu szkodniki, co gorsze, działają one w coraz bardziej wyrafinowany sposób.

O ciekawym przypadku związanym z tego typu zagrożeniami możemy dowiedzieć się dzięki odkryciu specjalistów z firm Avast i Check Point. Od kilku miesięcy cyberprzestępcy wykorzystują nowe metody komunikacji z własnymi serwerami, co chroni ich szkodniki przed szybkim wykryciem. Malware takie jak Simplelocker czy Koler są instalowane na smartfonach i tabletach dzięki socjotechnice: teoretycznie każdy wie, że powinien instalować aplikacje jedynie z zaufanych źródeł takich jak sklep Google Play. W praktyce jest z tym jednak różnie, a atakującym często udaje się nakłonić ofiary do pobrania programu z niezaufanego źródła.

Dlaczego ktoś miałby je instalować? Przykładem może być choćby rzekomy instalator Adobe Flash Playera, którego w sklepie Play nie znajdziemy, a który jest przez wiele osób poszukiwany. Programy niejednokrotnie działają z uprawnieniami administratora, szyfrują pliki zgromadzone na urządzeniu (np. zdjęcia, dokumenty, muzyka), a następnie domagają się okupu. Jeden z przedstawionych szkodników wyświetla komunikat ,podszywając się pod amerykańską organizację NSA: zgodnie z nim dane zostały zaszyfrowane, ponieważ użytkownik dopuścił się przeglądania stron pornograficznych, a także piractwa. Aby je odzyskać, ofiara musi zapłacić okup, którego wysokość waha się w granicach od 200 do nawet 500 dolarów.

r   e   k   l   a   m   a

Nawet jeżeli uda nam się usunąć tego typu program, pliki nadal pozostaną zaszyfrowane. Ważniejsza jest więc profilaktyka. Różnego rodzaju pakiety ochronne są w stanie wykrywać tego typu aplikacje choćby za sprawą ich komunikacji sieciowej: szkodnik musi pobrać klucze i odpowiednie dane z serwera atakującego. Najczęściej wykorzystują one do tego protokół HTTPS, co umożliwia sprawdzenie adresu IP i nazwy serwera, a w razie potrzeby zablokowanie ruchu. Nowe zagrożenia omijają to ograniczenie. Do komunikacji wykorzystują konta XMPP (Extensible Messaging and Presence Protocol) służące do komunikacji tekstowej i głosowej. W wiadomościach przesyłanych między nimi i aplikacją umieszczają odpowiednie komunikaty sterujące. Dzięki temu ruch, jaki generują, wydaje się nieszkodliwy, czymś naturalnym.

Blokowanie serwerów również na nic się tutaj nie zda – cyberprzestępcy wykorzystują bowiem konta zakładane na popularnych i zaufanych serwerach. Są one jedynie pośrednikiem, którego nie można ot tak blokować. Źródłowy serwer ataku znajduje się natomiast za TOR-em. W tej sytuacji rozwiązaniem jest dopiero zgłoszenie sprawy administratorom serwera XMPP, w celu zablokowania określonych kont służących do ataków. Oczywiście skuteczność ochrony w takiej sytuacji diametralnie spada, nie da się jej bowiem aż tak zautomatyzować. Analizy wykonane przez Check Point pokazują natomiast, że problem jest poważny: tysiące komunikatów wysyłane w obie strony przez specjalne konta oznaczają, że ofiar jest dużo, a zyski atakujących można liczyć w setkach tysięcy dolarów.

Co można zrobić w tego typu sytuacjach? Autorzy narzędzi ochronnych muszą opracować nowe metody wykrywania zagrożeń, aby unieszkodliwić je, zanim zdążą one zaszyfrować nasze dane. Oczywiście w przypadku urządzeń mobilnych największa odpowiedzialność i tak leży po stronie użytkownika. Wystarczy „tylko” instalować aplikacje jedynie z zaufanych źródeł. Z jakiegoś powodu często okazuje się to jednak zadaniem zbyt trudnym.

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.