scareware

Scareware to program albo strona internetowa, która wyświetla fałszywy alarm o infekcji, blokadzie lub awarii, żeby strachem skłonić użytkownika do zapłaty, instalacji oprogramowania albo telefonu do rzekomego wsparcia technicznego. Microsoft opisuje pokrewne oszustwa jako wykorzystywanie taktyk zastraszania, żeby nakłonić ludzi do płacenia za niepotrzebne usługi, które mają naprawiać wymyślone problemy urządzenia ^[1]. Zagrożenie, o którym mówi komunikat, jest zwykle pozorowane. Realna szkoda powstaje dopiero wtedy, gdy ofiara zrobi to, czego chce oszust.

Jak działa

Scareware łączy socjotechnikę z prostą techniką. Najczęściej zaczyna się od strony internetowej lub reklamy, a nie od infekcji komputera. Microsoft opisuje fałszywe komunikaty o błędach na odwiedzanych stronach, z numerem telefonu do „wsparcia”, a także przełączanie przeglądarki na pełny ekran i wyskakujące okna, których nie da się zamknąć, co w praktyce blokuje przeglądarkę ^[1]. FTC opisywała reklamy, które pokazywały „skanowanie systemu” zawsze znajdujące na komputerze groźne pliki i programy, a potem nakłaniały do kupna oprogramowania za 40–60 dolarów, żeby je usunąć ^[2].

Przebieg typowego schematu pokazuje rysunek poniżej.

RYS. 1Schemat działania scareware

Po nawiązaniu kontaktu oszuści proponują pozorne rozwiązania i żądają opłaty jednorazowej albo abonamentu ^[1]. Mogą też poprosić o instalację aplikacji dającej im zdalny dostęp do urządzenia, a potem przedstawiać zwykłe komunikaty systemu jako objawy awarii ^[1].

Odmiany

Scareware występuje w kilku formach, które różnią się tym, czego sprawca żąda i czym straszy.

Odmiana z fałszywym wsparciem jest bliska pojęciu oszustwa na pomoc techniczną, a „blokada policyjna” przypomina ransomware. Różnica polega na tym, że klasyczne ransomware faktycznie szyfruje dane, a scareware tylko udaje, że coś się stało.

W WordPressie

Strona WordPress rzadko jest celem scareware; częściej staje się jego nośnikiem. Po włamaniu atakujący wstrzykuje do strony skrypt, który kieruje odwiedzających na strony z fałszywymi alarmami. Takie złośliwe przekierowanie uderza w gości witryny, a nie w jej właściciela, więc właściciel może długo nie zauważyć problemu.

Malwarebytes opisał we wrześniu 2018 roku kampanię, w której od początku miesiąca przejęto tysiące witryn WordPress i przekierowywano ich gości na strony oszustw „na wsparcie techniczne” ^[6]. Przejęte strony miały nieaktualne wtyczki; badacze wskazywali połączenie kilku wektorów, bez jednej potwierdzonej luki ^[6]. Kod umieszczano w nagłówkach HTML jako zakodowany blok i jednolinijkowe odwołanie do zewnętrznego skryptu, a także w tabeli wp_posts bazy danych ^[6].

Z opisu wynikają praktyczne wnioski dla administratora:

• Podatność we wtyczce jest typową drogą wejścia, więc liczy się szybka aktualizacja i usuwanie nieużywanych dodatków.
• Złośliwy kod może siedzieć w bazie danych, nie tylko w plikach; monitorowanie integralności plików, które obejmuje tylko pliki, może go nie zauważyć.
• Czyszczenie przejętej strony obejmuje przegląd treści wpisów i nagłówków, a nie tylko podmianę plików rdzenia.
• Nieznane skrypty z zewnętrznych domen w kodzie strony to sygnał do sprawdzenia witryny skanerem złośliwego oprogramowania.

Zagrożenia i skutki

• Strata pieniędzy. Ofiara płaci za bezużyteczny program albo usługę ^[2][1].
• Instalacja prawdziwego złośliwego oprogramowania. CERT Polska opisywał, że strony udające antywirusa w rzeczywistości instalowały złośliwe oprogramowanie, które naciskało na zakup licencji ^[4].
• Zdalny dostęp. Aplikacja zainstalowana na prośbę „konsultanta” daje oszustowi dostęp do urządzenia ^[1].
• Szkoda dla gości witryny. Gdy scareware jest serwowane z przejętej strony, ofiarami stają się jej odwiedzający, przekierowani na strony oszustów ^[6].

Jak się bronić

Microsoft podaje kilka prostych reguł ^[1]:

• komunikaty o błędach i ostrzeżenia Microsoftu nigdy nie zawierają numeru telefonu, więc nie należy dzwonić pod numer z wyskakującego okna;
• Microsoft nie kontaktuje się sam, żeby naprawiać komputer, a każdy kontakt musi zainicjować użytkownik;
• oprogramowanie należy pobierać tylko ze stron producentów lub oficjalnego sklepu;
• przeglądarka z filtrem znanych stron oszustów blokuje część z nich, a program antywirusowy usuwa znane złośliwe oprogramowanie tego typu.

Jeśli ofiara zdążyła działać, Microsoft zaleca odinstalowanie aplikacji wskazanych przez oszustów, pełne skanowanie, zmianę haseł i kontakt z bankiem po dokonanej płatności ^[1]. CERT Polska radził opuścić podejrzaną stronę i w żadnym wypadku nie instalować proponowanego programu ^[4]. Fałszywą blokadę przeglądarki zwykle da się zamknąć klawiszami Esc, Alt+F4 lub Ctrl+W, a w opornych przypadkach przez zakończenie procesu przeglądarki w Menedżerze zadań ^[5]. Po stronie właściciela witryny podstawą są aktualizacje i wtyczka bezpieczeństwa z kontrolą zmian w plikach i bazie.

Historia i przykłady

Winfixer i pokrewne (2008–2012). FTC oskarżyła w 2008 roku sprzedawców programów z pozornym skanowaniem ^[2]. Do sprzedawanych produktów należały Winfixer, Drive Cleaner i XP Antivirus ^[3]. W grudniu 2011 roku FTC zapowiedziała zwrot pieniędzy dla ponad 300 tysięcy konsumentów ^[3]. W październiku 2012 roku zapadł wyrok na ponad 163 miliony dolarów wobec ostatniej oskarżonej; według FTC schemat oszukał ponad milion konsumentów ^[2].

Fałszywe antywirusy dla Mac OS X (2011). W maju 2011 roku CERT Polska ostrzegał przed stronami podszywającymi się pod oprogramowanie antywirusowe dla komputerów Apple, z programami o nazwach MACDefender, Mac Security i Mac Protector ^[4].

„Policja zablokowała komputer” (2018). Niebezpiecznik opisał w kwietniu 2018 roku komunikat wyświetlany na pełnym ekranie przeglądarki, który oskarżał użytkownika o oglądanie nielegalnych treści i żądał 600 zł za odblokowanie ^[5]. Komunikat udawał interfejs systemu, z fałszywym paskiem zadań i paskiem adresu ^[5].