koń trojański

Koń trojański (trojan) to program, który wygląda na użyteczny, ale zawiera ukrytą, potencjalnie szkodliwą funkcję omijającą mechanizmy bezpieczeństwa ^[1]. NIST podkreśla, że taki program często korzysta z uprawnień użytkownika, który go uruchomił ^[1]. Nazwa nawiązuje do podstępu z mitu o Troi: ofiara sama wpuszcza napastnika do środka. Starsza definicja NIST, z publikacji SP 800-28, mówi krócej: to użyteczny albo pozornie użyteczny program z ukrytym złośliwym kodem, który wykonuje się przy uruchomieniu programu ^[1]. Trojan jest jedną z odmian złośliwego oprogramowania (malware).

Jak działa

Istotą konia trojańskiego jest podszywanie się. Sekurak opisuje trojany jako programy, które udają inny program, na przykład ciekawą grę, a po uruchomieniu pokazują swoje prawdziwe oblicze ^[2]. MITRE ATT&CK ujmuje ten sam mechanizm ogólniej jako maskowanie: napastnik zmienia cechy swoich plików tak, by wyglądały na legalne albo nieszkodliwe dla użytkownika i narzędzi ochronnych ^[3]. Wśród podtechnik wymienia między innymi podwójne rozszerzenie pliku, podszywanie się pod nazwę lub lokalizację legalnego zasobu i nieprawidłowy podpis kodu ^[3]. MITRE podkreśla, że maskowanie polega na manipulowaniu nazwą albo lokalizacją obiektu po to, by uniknąć wykrycia i obserwacji ^[3]. Plik faktura.pdf.exe z ikoną dokumentu to najprostszy przykład.

Drugim warunkiem jest działanie ofiary. Według MITRE napastnik może liczyć na to, że użytkownik sam otworzy złośliwy plik, a socjotechnika ma go do tego nakłonić ^[4]. Takie działanie zwykle następuje po spear phishingu z załącznikiem ^[4]. Przebieg pokazuje schemat poniżej.

RYS. 1Infekcja koniem trojańskim

Czym różni się od wirusa i robaka

Podział na wirusy, robaki i trojany opisuje sposób, w jaki kod trafia do systemu, a nie to, co w nim robi. Sekurak zaznacza, że współczesne złośliwe oprogramowanie często łączy cechy kilku kategorii naraz ^[2].

Trojan nie powiela się samodzielnie. Jego rolą jest zwykle zdobycie przyczółka, po którym przychodzą kolejne narzędzia: loader, RAT (trojan zdalnego dostępu), keylogger albo ransomware.

Zagrożenia i skutki

Po uruchomieniu trojan może wykonać dowolną funkcję, jaką przewidział autor. Częste są tylna furtka (backdoor), kradzież haseł i pobieranie dalszych modułów, które odbierają polecenia z serwera C2. Skutki zależą więc od ładunku, a nie od samej nazwy „trojan”.

Przykładem jest kampania opisana przez CERT Polska 11 grudnia 2018 roku. Fałszywe wiadomości podszywały się pod InPost i informowały o paczce do odbioru ^[5]. W jednym wariancie archiwum zawierało skrót uruchamiający polecenie PowerShell, które instalowało trojana AsyncRAT ^[5]. Drugi wariant prowadził do ransomware opartego na projekcie Hidden Tear, które szyfrowało pliki algorytmem AES-256 w trybie CBC ^[5]. Trojan z pierwszego wariantu pozwalał na zrzuty ekranu i uruchamianie dowolnych plików ^[5]. CERT Polska zauważył, że oba warianty korzystały z lekko zmodyfikowanych albo niezmodyfikowanych projektów dostępnych publicznie na GitHubie ^[5].

W WordPressie

Na stronach WordPress koń trojański ma zwykle postać wtyczki lub motywu. Rozszerzenie wygląda na przydatne, a zawiera kod, który daje napastnikowi dostęp do panelu albo serwera.

Przejęta wtyczka z oficjalnego katalogu. W grudniu 2017 roku Sekurak opisał wtyczkę CAPTCHA firmy BestWebSoft, która miała 300 000 aktywnych instalacji ^[6]. Po przekazaniu wtyczki nowemu właścicielowi wydano aktualizację, która pobierała plik z zewnętrznej domeny ^[6]. Ten kod tworzył sesję użytkownika o ID 1, czyli domyślnego administratora, ustawiał ciasteczka logowania i usuwał się ^[6]. Podatne były wersje od 4.3.6 do 4.4.4, a wersję 4.4.5 oczyszczono ^[6]. To przykład ataku na łańcuch dostaw: trojan dotarł do stron zwykłą aktualizacją.

Fałszywe rozszerzenia. CERT Polska ostrzega, że napastnicy maskują trwały dostęp jako fałszywe rozszerzenia i motywy CMS, zwłaszcza w katalogu mu-plugins, który WordPress ładuje automatycznie; rozszerzenia z tego katalogu nie pojawiają się na liście wtyczek w panelu ^[8]. Tworzą też konta administratorów o nazwach przypominających legalne, na przykład „admin_support” ^[8], czyli nieautoryzowane konta administratora. Źródłem takich plików bywa piracka wtyczka (nulled plugin) albo fałszywa wtyczka.

Trojan na komputerze właściciela. Dokumentacja WordPress.org zwraca uwagę, że infekcja strony często zaczyna się na komputerze administratora. Napastnicy uruchamiają tam trojany, które przechwytują dane logowania do FTP i do /wp-admin ^[7]. Dlatego po włamaniu zaleca pełne skanowanie antywirusowe lokalnych komputerów ^[7].

Jak się bronić

• Instalować wtyczki i motywy tylko z zaufanych źródeł; nie używać wersji „nulled”.
• Nie otwierać nieoczekiwanych załączników ani skrótów z archiwów, zwłaszcza gdy nakłaniają do pilnego działania ^[4].
• Po włamaniu zmienić wszystkie dane dostępowe: panel hostingu, konta administratora CMS, SSH, FTP i klucze SSH ^[8].
• Przeskanować komputery osób, które logują się do panelu ^[7].
• Gdy nie wiadomo, jak napastnik wszedł, albo miał dostęp długo, CERT Polska zaleca odbudowę strony od czystej instalacji CMS i aktualnych komponentów ^[8].

Pomaga też monitorowanie integralności plików, które wykrywa pliki dodane lub zmienione poza zwykłą aktualizacją, oraz zasada najmniejszych uprawnień: trojan uruchomiony z konta bez uprawnień administratora może zrobić mniej ^[1].