oprogramowanie szpiegowskie

Oprogramowanie szpiegowskie (spyware) to oprogramowanie potajemnie instalowane w systemie, które zbiera informacje o osobach lub organizacjach bez ich wiedzy i przekazuje je osobie trzeciej. NIST definiuje je jako rodzaj złośliwego kodu instalowanego skrycie w celu gromadzenia takich informacji ^[1], a w innym dokumencie krótko jako złośliwe oprogramowanie (malware) mające naruszyć prywatność użytkownika ^[1]. CERT Polska ujmuje skutek wprost: po zainfekowaniu komputera przez spyware użytkownik praktycznie przestaje być jego właścicielem ^[2].

Jak działa

Oprogramowanie szpiegowskie ma trzy stałe zadania: ukryć się, zebrać dane i wysłać je na zewnątrz. Jedna z definicji NIST opisuje je jako program osadzony w aplikacji, który zbiera informacje i okresowo łączy się ze swoją stroną macierzystą, bez wiedzy użytkownika ^[1]. Wysyłka to eksfiltracja danych, zwykle do serwera sterującego. Cykl działania pokazuje schemat poniżej.

RYS. 1Cykl działania oprogramowania szpiegowskiego

Dane zbiera się na kilka sposobów. MITRE opisuje rejestrowanie naciśnięć klawiszy w celu przechwycenia danych logowania w chwili ich wpisywania ^[8], czyli działanie keyloggera. Osobną techniką jest przechwytywanie na stronie logowania: kod zainstalowany na portalu dostępnym z internetu zapisuje i przesyła dane użytkowników, zanim ich zaloguje ^[7].

Rodzaje

Nazwa obejmuje szeroką grupę programów, które różnią się celem i ofiarą.

Pokrewne są stalkerware, instalowany przez osobę z otoczenia ofiary, oraz adware, który śledzi zachowanie w celach reklamowych. Oprogramowanie używane przez organy państwa opisuje hasło rządowy trojan (komercyjne oprogramowanie szpiegujące).

Pegasus pokazuje górną granicę możliwości. Według sekuraka pozwala wydobyć z telefonu SMS-y, wiadomości z szyfrowanych komunikatorów, zdjęcia, lokalizację GPS i kontakty oraz podsłuchiwać przez mikrofon i kamerę ^[3]. Infekcja może nastąpić przy zerowej lub minimalnej interakcji użytkownika ^[3], co opisuje hasło zero-click. Sekurak opisuje też program iVerify, który sprawdza urządzenia z iOS pod kątem śladów Pegasusa bez potrzeby jailbreaku ^[3].

W WordPressie

Strona WordPress styka się z oprogramowaniem szpiegowskim na dwa sposoby. Pierwszy to komputer administratora. Dokumentacja WordPressa ostrzega, że infekcja często zaczyna się na komputerze lokalnym: atakujący uruchamiają tam trojany, które podsłuchują dane logowania do FTP i do /wp-admin, a potem logują się jako właściciel strony ^[5]. Współczesne infostealery kradną też zapisane w przeglądarce hasła i ciasteczka sesji ^[6], a skradziony token sesyjny pozwala wejść do panelu bez hasła.

Drugi sposób to kod szpiegujący na samej stronie. Sucuri opisał w październiku 2016 roku kod wstrzyknięty do pliku wp-login.php, który po udanym logowaniu wysyłał atakującemu adres strony i dane logowania użytkownika ^[4]. To odpowiednik techniki przechwytywania na portalu logowania z katalogu MITRE ^[7]. Na stronach sklepów ta sama idea dotyczy formularzy płatności i nosi nazwę web skimming.

Kod szpiegujący w plikach rdzenia jest wskaźnikiem kompromitacji (IoC). Wykrywa go monitorowanie integralności plików, bo wp-login.php nie powinien się zmieniać poza aktualizacją.

Zagrożenia i skutki

Najbardziej bezpośrednim skutkiem jest utrata danych uwierzytelniających. CERT Polska opisał w 2012 roku spyware atakujące klientów polskich banków: wstrzykiwało kod JavaScript do stron bankowości i podmieniało numer rachunku oraz kwotę tuż przed zatwierdzeniem przelewu ^[2]. Zespół wskazał 15 atakowanych systemów transakcyjnych ^[2]. Złośliwy kod łączył technikę z socjotechniką: wyświetlał fałszywe komunikaty bezpieczeństwa z prośbą o kody jednorazowe, a w innym wariancie informował o błędnym przelewie na konto ofiary, wstrzymaniu konta do czasu zwrotu środków i odpowiedzialności karnej za pomoc w praniu pieniędzy ^[2]. CERT Polska zalecał zgłaszanie bankowi każdego nowego, nieznanego wcześniej komunikatu na stronie bankowości ^[2].

Najgłośniejsze przypadki dotyczą inwigilacji. Według sekuraka, który opisał Pegasusa w sierpniu 2021 roku, znaczną większość ofiar stanowią dziennikarze i aktywiści, a na ujawnionej liście celów byli też politycy, w tym prezydent Francji ^[3]. Producentem jest izraelska firma NSO Group założona w 2010 roku ^[3].

Dla właściciela strony skradzione dane logowania oznaczają włamanie przeprowadzone „legalnie”, bez wykorzystania żadnej luki. Kod szpiegujący na stronie oznacza z kolei, że ofiarami są też jej użytkownicy, co może wymagać oceny pod kątem naruszenia ochrony danych osobowych.

Jak się bronić

• Skanowanie komputerów osób z dostępem do panelu. Dokumentacja WordPressa zaleca pełne skanowanie antywirusowe maszyny lokalnej, najlepiej także drugim programem, bo część wirusów wykrywa oprogramowanie antywirusowe i się przed nim ukrywa ^[5].
• Zmiana haseł do wszystkich punktów dostępu po oczyszczeniu, a nie tylko w chwili wykrycia włamania ^[5].
• Uwierzytelnianie dwuskładnikowe (2FA), które dokumentacja WordPressa zaleca jako dodatkowy krok logowania ^[5].
• Hasła w menedżerze haseł zamiast w przeglądarce, z której stealery je wyciągają ^[6].
• Kontrola integralności wp-login.php i innych plików rdzenia; ponowna instalacja katalogów wp-admin i wp-includes z oficjalnej paczki ^[5].

Na telefonach sekurak opisuje narzędzie MVT (Mobile Verification Toolkit), które porównuje kopię zapasową urządzenia ze wskaźnikami kompromitacji opublikowanymi przez Amnesty International ^[3].