Главная мысль
При подозрении на троян сообщите службе безопасности, если это рабочее устройство, и согласуйте изоляцию с командой. Защитите учётные записи с доверенного устройства, сохраните доказательства и определите масштаб инцидента, прежде чем удалять видимый файл.
Что такое троян
Троян, или Trojan horse, — вредоносная программа, которая маскируется под надёжное приложение или файл. После запуска скрытый код может красть данные, открывать удалённый доступ или загружать другое вредоносное ПО. Выражение «троянский вирус» технически неточно: вирус прикрепляется к файлу и размножается, а трояном программу называют из-за её маскировки под безопасный файл или приложение. Часто пользователь запускает такой файл сам, но запустить троян может и другое вредоносное ПО. Загруженные им программы могут распространяться самостоятельно. Червь может распространяться по сети без участия пользователя.
Аналогия с троянским конём
Название восходит к древнегреческой истории о деревянном коне: жители приняли его за безопасный дар, хотя внутри скрывались воины, которые ночью открыли ворота города. Цифровой троян также может скрывать вредоносную функцию в файле, который кажется надёжным. Проверяйте источник и подпись файла: это помогает оценить риск, но не доказывает безопасность. Не запускайте подозрительный образец на обычном устройстве ради проверки поведения; это задача подготовленного специалиста в изолированной среде.
Как развивается атака
Атака может пройти четыре этапа; для каждого предусмотрите подходящие меры защиты.
Маскировка
Вредоносный код могут выдавать за бесплатную утилиту, взломанную копию платной программы, модификацию игры или поддельное обновление. PDF-счёт может служить приманкой со ссылкой, вложением или активным содержимым; не каждый PDF сам по себе является исполняемым трояном.
Доставка
Файл может попасть к пользователю через фишинговое письмо или вложение, поддельный либо взломанный сайт, вредоносную рекламу, фиктивный магазин приложений или USB-носитель.
Запуск
Пользователь может открыть файл или разрешить активное содержимое; нагрузку также способен запустить другой вредоносный компонент. Программа может выглядеть рабочей, пока скрытый код запускается в фоне и запрашивает расширенные права.
Вредоносная нагрузка и закрепление
Код может красть пароли и данные, открывать удалённый доступ, подключать устройство к ботнету или загружать вымогательское ПО. Некоторые трояны закрепляются через параметры запуска и связываются с сервером управления злоумышленника.
Основные виды троянов
Вредоносная нагрузка троянов различается; один образец может сочетать несколько функций.
Бэкдор
Создаёт скрытый вход в устройство, который может позволить злоумышленнику подключаться удалённо.
Троян удалённого доступа (RAT)
Может дать злоумышленнику управление устройством, доступ к файлам, а иногда и к камере или микрофону.
Банковский троян
Нацелен на данные для входа в финансовые сервисы и на платёжные операции.
Загрузчик и дроппер
Предназначены прежде всего для доставки и установки другого вредоносного ПО.
Троян-стилер
Может собирать сохранённые пароли браузера, cookie сеансов, криптокошельки и сведения о системе.
Троян с вымогательской нагрузкой
Троян может скрываться под видом легальной программы и доставить вымогательское ПО, которое шифрует файлы или блокирует систему и требует выкуп.
Руткит-троян
Старается скрыть вредоносную активность от пользователя и средств защиты.
Поддельный антивирус
С помощью вымышленных предупреждений о заражении пытается заставить пользователя заплатить за вредоносную «защиту».
Мобильный троян и SMS-троян
Нацелен на телефоны; может отправлять SMS, перехватывать одноразовые коды или красть банковские данные.
DDoS-троян
Может подключить устройство к ботнету, который перегружает сайты и сервисы трафиком.
Исторические примеры: Zeus и Emotet
Zeus и Emotet в разные периоды использовались для кражи финансовых данных и доставки другого вредоносного ПО.
Zeus · банковский троян
В описании дела Министерства юстиции США за 2012 год указано, что Zeus записывал нажатия клавиш при входе пользователя в интернет-банк и похищал данные доступа. В судебном заявлении ФБР за 2016 год также описан банковский троян Ranbyus, основанный на коде Zeus/Zbot, утёкшем в 2011 году.
Emotet · от банковского трояна к загрузчику
По данным Европола, Emotet впервые обнаружили в 2014 году как банковский троян; позднее его предлагали другим преступникам для установки иного вредоносного ПО, включая банковские трояны и вымогательское ПО.
Признаки возможного заражения
У каждого признака могут быть и другие причины; один симптом не доказывает заражение. Однако о серьёзном сигнале на рабочем устройстве следует оперативно сообщить службе безопасности и сохранить данные для проверки.
Снижение производительности
Устройство заметно замедлилось, часто зависает или без очевидной причины выросла нагрузка на процессор и память.
Незнакомые программы
Появились приложения, расширения браузера или панели инструментов, которые вы не устанавливали.
Изменения в средстве защиты
Средство защиты отключено или перестало обновляться.
Изменилось поведение браузера
Появляются неожиданные окна и перенаправления, меняется главная страница или настройки.
Необычная сетевая активность
Необычная сетевая активность продолжается, когда устройством не пользуются.
Оповещения о входе
Приходят письма о сбросе пароля или входе, которые вы не инициировали.
Файлы изменились
Файлы исчезли, переименованы или не открываются. Шифрование — лишь одна из возможных причин; выясните причину, прежде чем делать вывод.
Сообщения отправлены от вашего имени
Контакты сообщают о странных сообщениях или письмах, отправленных из вашего аккаунта.
Риск для организаций
Первичное заражение одного устройства может перерасти в более широкий инцидент: злоумышленник попытается повысить привилегии, украсть учётные данные и перейти на другие системы. Последствия могут включать утечку данных, финансовое мошенничество, остановку сервисов, расходы на восстановление и потерю доверия. Средство, проверяющее только известные сигнатуры, может пропустить новый или изменённый образец; мониторинг поведения, ограничение доступа и своевременное расследование дополняют друг друга.
Используйте несколько уровней защиты
Обновляйте систему и приложения; учите сотрудников проверять неожиданные файлы и ссылки и загружать программы только из официальных источников. Не выдавайте пользователям права администратора для повседневной работы. Применяйте фильтрацию почты и веб-трафика, а также MFA: многофакторная проверка снижает ценность украденного пароля. Используйте средства мониторинга конечных устройств, которые помогают замечать подозрительное поведение и расследовать его. Храните резервные копии отдельно и проверяйте восстановление.
Семь действий при подозрении на заражение
Эти семь действий не образуют универсальную строгую последовательность. На личном устройстве ограничьте ущерб и обратитесь за помощью; на рабочем порядок изоляции, сохранения доказательств, проверки, защиты аккаунтов и восстановления определяет ответственный за инцидент. Часть работ может идти параллельно.
Отключите от сети
Выберите способ ограничения сетевого доступа, который снизит риск распространения угрозы и утечки данных. На рабочем устройстве согласуйте отключение сети с ответственным за инцидент, учитывая безопасность системы, удалённое управление и сохранность доказательств.
Сообщите службе безопасности
Сразу сообщите IT-службе или службе безопасности. Запишите наблюдения и время событий, сохраните относящиеся к инциденту записи и доказательства до очистки; не пытайтесь незаметно «починить» устройство.
Выполните полную проверку
Подготовленные и уполномоченные специалисты проводят подходящие проверки обновлёнными средствами, включая полное сканирование, когда оно уместно. Не перезагружайте устройство и не загружайтесь в «чистую среду» по собственной инициативе, если это может уничтожить данные для расследования.
Изолируйте обнаруженную угрозу
После сохранения относящихся к инциденту доказательств поместите обнаруженные угрозы в карантин или удалите их по плану реагирования; выясните также роль незнакомых программ.
Смените пароли с чистого устройства
Защитите затронутые аккаунты с доверенного устройства: смените пароли и, где возможно, завершите подозрительные сеансы и отзовите токены. Уточняйте круг затронутых аккаунтов вместе с командой реагирования.
Определите масштаб
Проверяйте, затронуты ли другие устройства и аккаунты, на протяжении всего реагирования; не откладывайте определение масштаба до удаления угрозы.
Восстановите из чистой копии
Проверьте резервную копию или образ системы, устраните причину первоначального проникновения и механизмы, позволяющие угрозе оставаться в системе. Восстановите данные и проверьте работу системы; подтвердите результат до повторного подключения к сети.
Роли троянов и вредоносная нагрузка
Названия троянов описывают разные роли и вредоносные нагрузки. RAT даёт возможность удалённого управления, а бэкдор создаёт скрытый путь доступа; банковский троян нацелен на финансовые данные; загрузчик и дроппер доставляют другое вредоносное ПО; шпионское ПО собирает сведения. Руткит может скрывать активность, а поддельный антивирус — обманывать пользователя ложными предупреждениями. Троян, маскирующийся под легальную программу, может доставить вымогательское ПО; шифрование и требование выкупа описывают его вымогательскую функцию. Эти роли не исключают друг друга: один образец может совмещать несколько функций.
Доступ и управление
RAT может дать оператору удалённый контроль над заражённым устройством; скрытый вход позволяет вернуться к нему. Доступ к камере, микрофону и другим функциям зависит от разрешений и уязвимостей системы.
Финансовые данные
Банковский троян нацелен на кражу учётных данных и платёжной информации. Zeus и Dridex — задокументированные примеры этой категории; влияние каждого инцидента нужно устанавливать отдельно.
Доставка и дополнительная нагрузка
Загрузчик получает другую программу из удалённого источника; дроппер может доставлять и устанавливать нагрузку из собственного пакета. Дополнительной программой могут быть шпионское ПО, средство скрытого доступа или вымогательское ПО.
Сокрытие и поддельная защита
Некоторые трояны используют функции шпионского ПО для сбора данных; методы руткита могут скрывать связанные файлы и процессы. Поддельное антивирусное предупреждение может склонять пользователя к оплате или установке другой программы.