złośliwe oprogramowanie

Złośliwe oprogramowanie (malware) to zbiorcza nazwa programów i fragmentów kodu tworzonych po to, by bez zgody właściciela szkodzić systemowi, danym albo ich użytkownikom. NIST definiuje je jako oprogramowanie lub firmware przeznaczone do wykonania nieautoryzowanego procesu, który niekorzystnie wpływa na poufność, integralność albo dostępność systemu informacyjnego ^[1]. Wytyczne NIST SP 800-83 podkreślają, że taki kod jest zwykle wprowadzany ukradkiem, a jego celem jest niszczenie danych, uruchamianie szkodliwych programów albo inne naruszenie tych trzech właściwości ^[2]. To pojęcie nadrzędne: obejmuje między innymi ransomware, konie trojańskie, infostealery i tylne furtki.

Jak działa

Złośliwe oprogramowanie rzadko działa w jednym kroku. Najpierw musi dostać się do systemu, potem się uruchomić, utrwalić i dopiero wtedy zrealizować cel. Za wejście odpowiada exploit wykorzystujący podatność, wiadomość phishingowa z załącznikiem albo skradzione hasło. Za uruchomienie często odpowiada osobny program, dropper albo loader, który pobiera albo rozpakowuje właściwy ładunek.

Taki podział opisuje na przykład analiza CERT Polska z 1 czerwca 2018 roku. Ostap to dropper w postaci zakodowanego skryptu JScript, rozsyłany jako spakowany załącznik udający fakturę ^[4]. Jego zadaniem była dystrybucja dwóch rodzin złośliwego oprogramowania bankowego, Nymaim i Backswap ^[4]. CERT Polska określił go wtedy jako jedną z najaktywniejszych rodzin złośliwego oprogramowania, obecną w licznych kampaniach wymierzonych w klientów bankowości elektronicznej w Polsce ^[4].

RYS. 1Typowy łańcuch infekcji

Rodzaje

NIST wymienia jako przykłady wirusy, robaki, konie trojańskie, oprogramowanie szpiegujące i niektóre formy adware ^[1]. W innej definicji dopisuje do tej listy rootkity ^[1]. Rodzaje różnią się sposobem rozprzestrzeniania i celem, a jedna próbka często łączy kilka cech.

W WordPressie

Na stronach WordPress złośliwe oprogramowanie ma postać skryptów PHP, JavaScriptu wstrzykniętego w szablon albo wpisów w bazie danych. CERT Polska wymienia typowe objawy przejętej strony: nieznane skrypty ładowane z obcych domen, fałszywą weryfikację CAPTCHA nakłaniającą do skopiowania kodu, podmianę wyglądu, przekierowania na strony atakujących, SEO spam oraz oznaczenie strony przez wyszukiwarki jako niebezpiecznej ^[5]. Prosty webshell opiera się na funkcjach takich jak system(), exec() czy eval() ^[5].

Dokumentacja WordPressa wśród oznak włamania wymienia oznaczenie strony jako rozsyłającej malware, ostrzeżenia programów antywirusowych u czytelników, użycie strony do atakowania innych witryn i nieautoryzowane działania, na przykład zakładanie nowych użytkowników ^[6]. Takie oznaki nazywa wskaźnikami kompromitacji (IoC) ^[6]. Zwraca też uwagę, że infekcja często zaczyna się na komputerze właściciela: trojany podsłuchują dane logowania do FTP i panelu /wp-admin ^[6].

Przy czyszczeniu dokumentacja zaleca szczególną uwagę na plik .htaccess oraz na pliki index.php, header.php, footer.php i functions.php, bo ich modyfikacja wpływa na wszystkie żądania ^[6]. Ostrzega, że instalator w panelu zwykle tylko nadpisuje istniejące pliki, a włamania często dodają nowe ^[6]. Katalogi /wp-admin i /wp-includes można bezpiecznie podmienić czystą kopią tej samej wersji ^[6]. Przed czyszczeniem warto wykonać jeszcze jedną kopię środowiska, nawet zainfekowanego; dokumentacja uzasadnia to tym, że w razie poważnej awarii zostaje przynajmniej materiał do porównania ^[6].

Częstym źródłem infekcji są też rozszerzenia. Dokumentacja hartowania WordPressa zaleca pobieranie wtyczek i motywów tylko z repozytorium WordPress.org albo od znanych firm ^[7]; zob. piracka wtyczka (nulled plugin) i fałszywa wtyczka.

Zagrożenia i skutki

NIST SP 800-83 opisuje złośliwe oprogramowanie jako najczęstsze zewnętrzne zagrożenie dla hostów, powodujące poważne szkody w organizacjach ^[2]. W statystykach CERT Polska za 2021 rok szkodliwe oprogramowanie było drugim pod względem liczebności typem obsłużonych incydentów; zarejestrowano ich 2847 ^[3].

Dla właściciela strony skutki są konkretne. Atakujący, który zdobędzie konto administratora, może zainstalować złośliwe skrypty zdolne przejąć cały serwer ^[7]. Zainfekowana strona trafia na czarne listy wyszukiwarek i programów antywirusowych ^[6], a jej adres IP może zostać zablokowany przez operatorów list antyspamowych, co uderza też w pocztę ^[6]. Strona staje się narzędziem dalszych ataków: rozsyła phishing, złośliwe przekierowania albo spam.

Jak się bronić

Wytyczne NIST SP 800-83 dzielą ochronę na zapobieganie i obsługę incydentu ^[2]. W praktyce WordPressa oznacza to kilka warstw.

• Aktualizacje. Starsze wersje WordPressa nie dostają poprawek bezpieczeństwa ^[7].
• Zaufane źródła wtyczek i motywów ^[7] oraz wyłączony edytor plików przez stałą DISALLOW_FILE_EDIT ^[7].
• Skanowanie. Dokumentacja poleca łączyć skanery działające jako wtyczki ze skanerami zdalnymi, bo każdy typ wykrywa co innego ^[6]; zob. skaner złośliwego oprogramowania (malware scanner).
• Integralność plików. Polecenie wp core verify-checksums porównuje pliki rdzenia z sumami kontrolnymi WordPress.org ^[8]; szerzej opisuje to monitorowanie integralności plików.
• Kopie zapasowe i zmiana wszystkich haseł po oczyszczeniu, także do FTP, SFTP, panelu hostingu i bazy ^[6].

Skanowanie powinno objąć także komputery osób, które logują się do strony. Dokumentacja WordPressa zaleca pełny skan antywirusowy maszyny lokalnej, a przy podejrzeniu infekcji także drugim programem, bo niektóre wirusy wykrywają oprogramowanie antywirusowe i się przed nim ukrywają ^[6]. Dotyczy to systemów Windows, macOS i Linux ^[6].

Gdy do infekcji już doszło, CERT Polska zaleca odcięcie serwera od sieci, zabezpieczenie logów, analizę wektora ataku i odbudowę z kopii sprzed incydentu albo od podstaw ^[5]. Proces opisuje czyszczenie przejętej strony.

Historia i przykłady

Pojęcie jest stałym elementem polskich raportów o incydentach. Oprócz przytoczonej statystyki za 2021 rok ^[3] CERT Polska publikuje analizy konkretnych rodzin, takich jak Ostap z 2018 roku, rozsyłany w kampaniach z fałszywymi fakturami ^[4]. W opisie przejętych stron internetowych ta sama instytucja wymienia dziś obok webshelli także fałszywą CAPTCHA typu ClickFix ^[5], co pokazuje, że złośliwe oprogramowanie na stronie często celuje nie w serwer, lecz w jej odwiedzających.