Главная мысль
Проверяйте, к каким ресурсам обращается файл или процесс и какие соединения он устанавливает, а не только его имя. Изолируйте подозрительное устройство по плану реагирования, исследуйте его в доверенной среде и проверьте восстановление.
Цель вредоносного кода и возможные последствия
Вредоносный код — программа, скрипт или фрагмент кода, намеренно созданный для несанкционированного доступа, кражи данных, нарушения работы или слежки; он отличается от случайной ошибки. Вирус может распространяться вместе с заражённым файлом, червь — размножаться в сети, троян — маскироваться под безобидную программу, а логическая бомба — срабатывать при заданном условии. Программа-похититель (infostealer) собирает пароли и данные браузера; программа-вымогатель (ransomware) может шифровать файлы и угрожать публикацией украденных данных; программа-стиральщик (wiper) уничтожает информацию. Шпионское ПО может записывать экран и нажатия клавиш. Ботнет объединяет управление заражёнными устройствами, бэкдор сохраняет скрытый доступ, а криптоджекинг использует чужие вычислительные ресурсы для добычи криптовалюты без разрешения.
Буткит может запускаться до загрузки системы
Буткит (bootkit) может изменить компонент загрузочной цепочки и запуститься до полной загрузки операционной системы. В старой системе BIOS целью может быть MBR; в системе UEFI проверяют EFI-раздел или прошивку. TDL4 — пример закрепления в главной загрузочной записи (MBR) старых систем BIOS, а LoJax — на уровне UEFI-прошивки; способы размещения различаются. Поэтому обычного сканирования из ОС может быть недостаточно, однако нельзя утверждать, что каждый буткит работает на любой системе или обязательно переживает переустановку ОС. Используйте доверенное автономное сканирование, обновления производителя и помощь специалиста; не перепрошивайте устройство наугад.
Ботнет может управляться централизованно или распределённо
Ботнет — сеть заражённых устройств, которыми удалённо управляют через вредоносную программу. Схемой с центральным командным сервером проще управлять, однако вмешательство в этот узел может нарушить работу всей сети; в одноранговой (peer-to-peer) модели устройства обмениваются командами без единого центра. Ботнеты применяют для DDoS, спама, кражи данных и финансового мошенничества. Mirai, использовавший IoT-устройства для DDoS, и Zeus, известный кражей банковских данных, показывают разные цели. Неожиданный исходящий трафик, повторные соединения с незнакомыми внешними адресами, высокая загрузка процессора и неизвестные процессы требуют проверки.
Кейлоггер может собирать данные программно или физически
Кейлоггер записывает ввод с клавиатуры. Программный вариант иногда также собирает снимки экрана и содержимое буфера обмена, сохраняя или передавая данные. Аппаратный вариант может находиться между клавиатурой и компьютером или внутри клавиатуры; программное сканирование не заменяет физического осмотра. Проверяйте подозрительные процессы и исходящие соединения, осматривайте порты и кабели. При обнаружении программы или устройства сохраните доказательства, сообщите службе безопасности, смените пароли с другого доверенного устройства и отзовите затронутые сеансы. Для организационного мониторинга ввода отдельно проверяют полномочия, прозрачность и применимые правовые требования.
Найдите путь заражения и ограничьте воздействие
Вредоносный код может попасть через фишинговое вложение или ссылку, поддельное обновление ПО, уязвимость, USB-носитель, обновление поставщика или рекламную цепочку. Вредоносная реклама (malvertising) использует вредоносное объявление на легитимном сайте или в рекламной сети и может вести к перенаправлению, поддельному предупреждению либо попытке эксплуатации; не каждое объявление или iframe вредоносно. Ограничьте сетевой доступ подозрительного устройства по плану реагирования, сохраните журналы и передайте расследование группе безопасности. Устанавливайте обновления из доверенных источников, ограничивайте макросы и права, применяйте почтовые и веб-политики, сегментируйте сеть и проверяйте восстановление из резервных копий.