Əsas fikir
Trojan-a şübhə varsa, iş cihazında təhlükəsizlik komandasına xəbər verin və təcrid qərarını onlarla razılaşdırın. Hesabları etibarlı cihazdan qoruyun, sübutları saxlayın və yalnız görünən faylı silməzdən əvvəl insidentin əhatəsini araşdırın.
Trojan nədir?
Trojan və ya Trojan horse özünü etibarlı tətbiq və ya fayl kimi göstərən zərərli proqramdır. İşə düşdükdə gizli kod məlumat oğurlaya, uzaqdan giriş yarada və ya əlavə zərərli proqram yükləyə bilər. “Trojan virusu” texniki baxımdan dəqiq deyil: virus başqa fayla qoşulub çoxalır, Trojan isə öz-özünə çoxalma ilə müəyyən edilmir. Aldadıcı faylı istifadəçinin açması geniş yayılmış yoldur, lakin başqa zərərli komponent də Trojan yükünü başlada bilər; onun sonrakı yükü ayrıca yayıla bilər. Qurd isə şəbəkədə istifadəçi müdaxiləsi olmadan yayıla bilər.
Troya atı bənzətməsi
Adı qədim yunan hekayəsindəki taxta atdan gəlir: şəhər sakinləri təhlükəsiz hədiyyə hesab etdikləri atı içəri çəkdilər, lakin onun içində gizlənən əsgərlər gecə şəhərin qapılarını açdılar. Rəqəmsal Trojan da etibarlı görünən faylda arzuolunmaz funksiyanı gizlədə bilər. Faylın mənbəyini və imzasını yoxlayın; bunlar riski qiymətləndirməyə kömək etsə də, zərərsizliyə zəmanət vermir. Şübhəli nümunəni adi cihazda açıb davranışını sınamayın; bunu yalnız təlimli mütəxəssis təcrid olunmuş mühitdə araşdıra bilər.
Hücum necə inkişaf edir?
Hücum dörd mərhələdə inkişaf edə bilər; hər mərhələ üçün ayrıca nəzarət seçin.
Aldadıcı təqdimat
Zərərli kod pulsuz utilit, ödənişli proqramın sındırılmış surəti, oyun əlavəsi və ya saxta yeniləmə kimi təqdim oluna bilər. PDF hesab-fakturası isə zərərli link, əlavə və ya aktiv məzmuna aparan aldadıcı vasitə ola bilər; hər PDF icra olunan Trojan tətbiqi deyil.
Çatdırılma
Fayl fişinq məktubu və əlavəsi, saxta və ya ələ keçirilmiş sayt, zərərli reklam, saxta tətbiq mağazası və ya USB yaddaş vasitəsilə çata bilər.
İcra
İstifadəçi faylı aça və ya aktiv məzmuna icazə verə bilər; başqa zərərli komponent də yükü başlada bilər. Proqram normal işləyirmiş kimi görünə, gizli kod isə arxa planda icraya başlaya və daha geniş icazələr istəyə bilər.
Zərərli yük və sistemdə qalma
Kod parol və məlumat oğurlaya, uzaqdan idarəetmə yarada, cihazı botnetə qoşa və ya ransomware yükləyə bilər. Bəzi Trojan-lar açılış parametrlərini dəyişərək qalır və hücumçunun serveri ilə əlaqə saxlayır.
Əsas Trojan növləri
Trojan-ların yükü fərqli olur; eyni nümunə bir neçə funksiyanı birləşdirə bilər.
Arxa qapı
Cihaza gizli giriş nöqtəsi yaradır və hücumçuya uzaqdan qayıtmaq imkanı verə bilər.
Uzaqdan giriş Trojan-ı (RAT)
Hücumçuya cihazı idarə etməyə, fayllara baxmağa və bəzən kamera və ya mikrofonu işə salmağa imkan verə bilər.
Bank Trojan-ı
Maliyyə giriş məlumatlarını və əməliyyatları hədəfləyir.
Yükləyici və dropper
Əsas məqsədi başqa zərərli proqramı cihaza gətirmək və quraşdırmaqdır.
Məlumat oğurlayan Trojan
Brauzerdə saxlanmış parolları, sessiya kukilərini, kriptoaktiv pul kisələrini və sistem məlumatını toplaya bilər.
Fidyə proqramı daşıyan troyan
Aldadıcı Trojan sonradan faylları şifrələyən və ya sistemi kilidləyib ödəniş tələb edən ransomware yükünü çatdıra bilər.
Rootkit funksiyalı troyan
Zərərli fəaliyyəti istifadəçidən və təhlükəsizlik alətlərindən gizlətməyə çalışır.
Saxta antivirus (rogue security)
Uydurma yoluxma xəbərdarlığı ilə istifadəçiyə zərərli “qoruma” üçün ödəniş etdirməyə çalışır.
Mobil və SMS Trojan-ı
Telefonları hədəfləyir; SMS göndərə, birdəfəlik kodları ələ keçirə və ya bank məlumatlarını oğurlaya bilər.
DDoS Trojan-ı
Cihazı botnetə qoşaraq sayt və xidmətlərə həddən artıq trafik göndərmək üçün istifadə edə bilər.
Tarixi nümunələr: Zeus və Emotet
Zeus və Emotet müxtəlif dövrlərdə maliyyə məlumatlarını oğurlamaq və başqa zərərli proqramları çatdırmaq üçün istifadə olunub.
Zeus · bank Trojan-ı
ABŞ Ədliyyə Nazirliyinin 2012-ci il iş təsvirində Zeus-un istifadəçi onlayn bank hesabına daxil olarkən düymə basmalarını qeydə alıb giriş məlumatlarını oğurladığı bildirilib. FBI-nın 2016-cı il məhkəmə bəyannaməsində 2011-ci ildə sızmış Zeus/Zbot koduna əsaslanan Ranbyus adlı bank Trojan-ı da təsvir olunur.
Emotet · Trojan-dan yükləyiciyə
Europol Emotet-in 2014-cü ildə bank Trojan-ı kimi aşkarlandığını, sonradan isə başqa cinayətkarlara digər zərərli proqramları — bank Trojan-ları və ransomware daxil olmaqla — quraşdırmaq üçün icarəyə verildiyini qeyd edir.
Xəbərdarlıq əlamətləri
Bu əlamətlərin hər birinin başqa səbəbi ola bilər; tək əlamət yoluxmanı sübut etmir. Bununla belə, ciddi siqnalı görən kimi iş cihazında təhlükəsizlik komandasına operativ məlumat verin və araşdırma üçün qeydləri qoruyun.
Performansın pisləşməsi
Cihaz nəzərəçarpacaq dərəcədə yavaşıyır, tez-tez çökür və ya prosessor/yaddaş yükü səbəbsiz yüksəlir.
Tanımadığınız proqramlar
Yadınızda olmayan tətbiq, brauzer əlavəsi və ya alətlər paneli quraşdırılıb.
Təhlükəsizlik vasitəsi dəyişib
Təhlükəsizlik proqramı söndürülüb və ya yenilənmir.
Brauzer davranışı dəyişib
Gözlənilməyən pəncərələr və yönləndirmələr görünür, ana səhifə və ya parametrlər dəyişir.
Qeyri-adi şəbəkə fəaliyyəti
Cihaz istifadə olunmadığı halda da gözlənilməyən şəbəkə fəaliyyəti görünür.
Giriş xəbərdarlıqları
Sizin başlatmadığınız parol sıfırlama məktubu və ya giriş xəbərdarlığı gəlir.
Fayllar dəyişib
Fayllar yoxa çıxıb, adı dəyişib və ya açılmır. Şifrələmə mümkün səbəblərdən biridir; səbəbi araşdırmadan nəticə çıxarmayın.
Hesabınızdan mesajlar gedib
Kontaktlarınız hesabınızdan qəribə mesaj və ya e-poçt aldıqlarını bildirir.
Təşkilatlar üçün risk
Bir cihazda ilkin yoluxma daha geniş insidentə çevrilə bilər: hücumçu səlahiyyətləri artırmağa, hesab məlumatlarını oğurlamağa və şəbəkədə digər sistemlərə keçməyə çalışa bilər. Nəticələrə məlumat sızması, maliyyə fırıldağı, xidmət dayanması, bərpa xərci və etibar itkisi daxildir. Təkcə məlum imzaları yoxlayan vasitə yeni və ya dəyişdirilmiş nümunəni qaçıra bilər; davranış monitorinqi, giriş məhdudiyyəti və vaxtında araşdırma bir-birini tamamlayır.
Qorunmanı qatlarla qurun
Əməliyyat sistemini və tətbiqləri yeniləyin; istifadəçilərə gözlənilməyən fayl və linkləri yoxlamağı, proqramı yalnız rəsmi mənbədən yükləməyi öyrədin. İstifadəçilərə gündəlik iş üçün administrator hüququ verməyin. E-poçt və veb filtrləri ilə MFA tətbiq edin; MFA oğurlanmış parolun dəyərini azalda bilər. Son nöqtələrdə şübhəli davranışı izləyən və araşdırmağa kömək edən alətlərdən istifadə edin. Ehtiyat nüsxələri ayrıca qoruyun və bərpanı sınaqdan keçirin.
Yoluxma şübhəsində yeddi addım
Bu yeddi hərəkət sərt universal ardıcıllıq deyil. Şəxsi cihazda zərəri məhdudlaşdırıb kömək alın; iş cihazında insidentin sahibi təcrid, sübut toplama, yoxlama, hesab müdafiəsi və bərpanın hansı ardıcıllıqla və ya paralel aparılacağını müəyyən edir.
Şəbəkədən ayırın
Yayılma və məlumat ötürülməsi riskini azaltmaq üçün uyğun təcridi qiymətləndirin. İş cihazında şəbəkəni ayırmağı insident sahibi ilə razılaşdırın; sistemin təhlükəsizliyini, uzaqdan idarəetməni və sübutları nəzərə alın.
Təhlükəsizlik komandasına xəbər verin
İT və ya təhlükəsizlik komandasına dərhal xəbər verin. Nə gördüyünüzü və vaxtını qeyd edin, təmizləmədən əvvəl aidiyyəti qeydləri və sübutları qoruyun; cihazı səssizcə “düzəltməyə” çalışmayın.
Tam yoxlama aparın
Təlimli və səlahiyyətli cavab qrupu yenilənmiş alətlərlə uyğun yoxlamalar, lazım gəldikdə tam skan aparmalıdır. Sübut itirə biləcək təsadüfi yenidən başlatma və ya “təmiz mühitdən” yükləmə addımına özbaşına başlamayın.
Aşkarlanmış proqramı təcrid edin
Aidiyyəti sübutlar toplandıqdan sonra cavab planına uyğun aşkar edilmiş təhdidləri karantinə alın və ya silin; tanımadığınız proqramların rolunu da araşdırın.
Parolları təmiz cihazdan dəyişin
Təsirlənmiş hesabları etibarlı cihazdan qoruyun: parolları dəyişin və dəstəklənən yerdə şübhəli sessiyaları və tokenləri ləğv edin. Hansı hesabların təsirləndiyini cavab qrupu ilə dəqiqləşdirin.
Əhatəni müəyyən edin
Digər cihazların və hesabların təsirlənib-təsirlənmədiyini bütün cavab prosesi ərzində araşdırın; əhatəni yalnız silmədən sonra müəyyən etməyə saxlamayın.
Təmiz nüsxədən bərpa edin
Ehtiyat nüsxə və ya sistem surətinin etibarlılığını yoxlayın, ilkin giriş və sistemdə qalma səbəblərini aradan qaldırın. Zədələnmiş məlumatı bərpa edib sistemi yoxlayın; şəbəkəyə yenidən qoşmazdan əvvəl bərpanı təsdiqləyin.
Trojanların rolları və zərərli yükləri
Trojan adları müxtəlif rolları və zərərli yükləri təsvir edir. RAT və backdoor uzaqdan giriş yaradır; bank Trojan-ı maliyyə məlumatını hədəfləyir; downloader və dropper əlavə yük çatdırır; spyware məlumat toplayır. Rootkit gizlətmə funksiyası, saxta antivirus isə fırıldaq interfeysi ola bilər. Aldadıcı Trojan ransomware yükünü çatdıra bilər; faylların şifrələnməsi və pul tələbi isə həmin yükün təsiridir. Bu rollar bir-birini istisna etmir: bir nümunə bir neçə funksiyanı birləşdirə bilər.
Giriş və idarəetmə
RAT operatora yoluxmuş cihazı uzaqdan idarə etməyə imkan verə bilər; backdoor isə gizli giriş yolu yaradır. Kamera, mikrofon və digər imkanlara çıxış icazələrdən və sistem zəifliklərindən asılıdır.
Maliyyə məlumatı
Banking Trojan giriş məlumatlarını və ödəniş məlumatlarını oğurlamağa yönəlir. Zeus və Dridex bu kateqoriyada sənədləşdirilmiş nümunələrdir; hər bir konkret hadisənin təsirini ayrıca araşdırmaq lazımdır.
Çatdırılma və əlavə yük
Downloader uzaq mənbədən başqa proqramı endirir; dropper isə yükü paketdə daşıyıb quraşdıra bilər. Sonrakı yük casus proqram, backdoor və ya ransomware ola bilər.
Gizlətmə və saxta təhlükəsizlik
Bəzi Trojanlar məlumat toplamaq üçün spyware funksiyasından istifadə edir; rootkit texnikaları əlaqəli fayl və prosesləri gizlədə bilər. Saxta antivirus xəbərdarlığı isə istifadəçini ödənişə və ya başqa proqramı quraşdırmağa məcbur edə bilər.