Jak działa trojan (wirus)?

Trojan działa poprzez ukrycie złośliwego kodu wewnątrz pliku, który wygląda niewinnie, a dopiero po jego uruchomieniu przez użytkownika uzyskuje dostęp do systemu operacyjnego i wykonuje zadania zaprogramowane przez przestępców, od kradzieży haseł po przejęcie zdalnej kontroli nad całym urządzeniem. W przeciwieństwie do klasycznego wirusa komputerowego trojan się nie replikuje sam z siebie. Potrzebuje, żeby ktoś go wpuścił do środka, dobrowolnie i z pełnym zaufaniem, klikając w załącznik albo pobierając program z nieznanego źródła.

Brzmi prosto? W zasadzie jest. Cała sztuczka socjotechniczna polega na tym, żeby ofiara sama otworzyła drzwi. Żaden exploit nie musi łamać firewalla, jeśli administrator sieci sam zainstaluje złośliwy plik, myśląc, że to aktualizacja sterownika karty graficznej. Ten mechanizm, prosty jak budowa cepa, odpowiada za zdecydowaną większość infekcji zgłaszanych co roku przez zespoły CERT na całym świecie.

Czym trojan różni się od wirusa komputerowego?

Różnica jest fundamentalna, mimo że potocznie oba terminy miesza się ze sobą bez opamiętania. Wirus dopisuje swój kod do innych plików i programów, a potem rozprzestrzenia się samodzielnie, bez udziału człowieka, infekując kolejne nośniki i aplikacje. Trojan nie ma takiej ambicji. On udaje coś, czym nie jest, i czeka, aż użytkownik sam go aktywuje.

Z technicznego punktu widzenia trojan to po prostu kategoria złośliwego oprogramowania zdefiniowana przez sposób dostarczenia, nie przez mechanizm działania wewnątrz systemu. Może zawierać w sobie funkcje ransomware, keyloggera albo backdoora. To kontener na zło, nazwany tak za sprawą mitologicznego konia, który wjechał do Troi jako prezent, a w środku krył żołnierzy gotowych do ataku.

Czy trojan to to samo co malware?

Nie do końca. Malware to pojęcie nadrzędne, obejmujące każdy typ szkodliwego oprogramowania, a trojan jest jedną z jego odmian, obok robaków, ransomware czy spyware. Pisząc wprost: każdy trojan jest malware, ale nie każdy malware jest trojanem.

Jak trojan infekuje komputer krok po kroku?

Proces zwykle wygląda podobnie, niezależnie od tego, czy mówimy o laptopie księgowej z biura na warszawskiej Pradze, czy o serwerze korporacyjnym w centrum danych. Najpierw przestępca przygotowuje tzw. nośnik, czyli plik lub program z ukrytym ładunkiem. Potem rozsyła go szerokim strumieniem albo celuje w konkretną ofiarę.

Dalej dzieje się to, co nazywam momentem zaufania. Użytkownik otwiera załącznik PDF od “kuriera”, klika w link z fałszywej faktury albo instaluje crack do gry pobrany z forum. Plik wykonywalny uruchamia się w tle, często bez żadnego widocznego okna. System nie dostaje żadnego ostrzeżenia, bo z perspektywy Windowsa to zwyczajna, autoryzowana operacja.

A potem trojan robi to, do czego został zaprogramowany. Łączy się z serwerem kontrolno-zarządzającym, w skrócie C&C, pobiera dodatkowe moduły, zapisuje się w rejestrze systemowym, żeby uruchamiać się przy każdym starcie komputera. Niektóre warianty czekają tygodniami, zbierając dane logowania, zanim w ogóle cokolwiek “zrobią” w sensie widocznym dla ofiary.

Skąd najczęściej pobieramy trojana?

Z załączników e-mail podszywających się pod faktury, listy przewozowe czy wezwania sądowe. Z pirackiego oprogramowania i generatorów kluczy. Z reklam w serwisach streamingowych o wątpliwej reputacji. I, co zaskakujące wielu ludzi, z oficjalnych sklepów z aplikacjami, do których przestępcom czasem udaje się przemycić zainfekowany program pod płaszczykiem latarki albo kalkulatora.

Czy trojan może zainstalować się bez żadnego działania użytkownika?

W zdecydowanej większości przypadków nie. Wymaga kliknięcia, uruchomienia, zgody na instalację. Istnieją jednak scenariusze, w których trojan trafia do systemu przez lukę w przeglądarce albo wtyczce, bez świadomej akcji ofiary poza samym wejściem na zainfekowaną stronę. Tego typu ataki nazywa się drive-by download i zdarzają się rzadziej niż klasyczna socjotechnika, ale bywają groźniejsze, bo ofiara nie ma pojęcia, że cokolwiek się wydarzyło.

Jakie są rodzaje trojanów i co właściwie robią w systemie?

Nazwa “trojan” to parasol, pod którym chowa się sporo bardzo różnych zachowań. Jeden kradnie dane logowania do banku, inny zamienia komputer w cegłę do kopania kryptowalut, jeszcze inny otwiera tylne drzwi dla hakera, który będzie mógł wrócić, kiedy tylko zechce.

Co ciekawe, jeden plik potrafi łączyć kilka z tych funkcji naraz. Dropper instaluje RAT-a, RAT instaluje keyloggera, keylogger wysyła dane do serwera C&C. Łańcuch bywa długi.

Co to jest trojan bankowy i dlaczego jest tak groźny?

Trojan bankowy, taki jak znane w swoim czasie rodziny Emotet czy Zeus, działa na zasadzie wstrzykiwania kodu do przeglądarki. Użytkownik wchodzi na stronę swojego banku, wpisuje login i hasło, a formularz po drodze trafia prosto na serwer przestępcy, zanim jeszcze dotrze do prawdziwego banku. Ofiara nie widzi żadnej różnicy. Strona wygląda identycznie.

Jak rozpoznać, że komputer ma trojana?

Większość nowoczesnych trojanów stara się być niewidoczna, więc nie zawsze pojawią się efektowne okienka z czaszką na ekranie. Mimo to pewne sygnały powtarzają się na tyle często, że warto je znać.

Komputer nagle zwalnia bez powodu, wentylator kręci się jak szalony mimo bezczynności, a w menedżerze zadań widać procesy o dziwnych nazwach zjadające procesor. Przeglądarka sama otwiera nowe karty, zmienia domyślną wyszukiwarkę albo zalewa ekran reklamami. Antywirus wyłącza się bez wyraźnej przyczyny, a zapora sieciowa raportuje nieznane połączenia wychodzące o trzeciej w nocy.

Czy wolny internet to zawsze oznaka trojana?

Nie zawsze, ale warto to sprawdzić. Trojan wysyłający dane albo kopiący kryptowaluty w tle potrafi zżerać pasmo i moc obliczeniową bez litości. Jeśli router pokazuje ruch wychodzący, kiedy nikt nic nie robi na komputerze, to dobry powód, żeby uruchomić pełne skanowanie systemu.

Jakie objawy na smartfonie wskazują na infekcję?

Bateria rozładowuje się dwa razy szybciej niż zwykle. Pojawiają się aplikacje, których nikt nie instalował. Rachunek za SMS-y premium rośnie bez wytłumaczenia. To klasyczny zestaw objawów trojana na Androidzie, szczególnie tego pobranego spoza Google Play.

Jak usunąć trojana z komputera lub telefonu?

Pierwszy krok to odłączenie urządzenia od sieci. Brzmi banalnie, ale odcina trojanowi możliwość komunikacji z serwerem C&C i zapobiega dalszej kradzieży danych, podczas gdy prowadzisz czyszczenie.

Drugi krok to uruchomienie pełnego skanowania w trybie awaryjnym, z użyciem aktualnej bazy sygnatur. Dobrym pomysłem jest skorzystanie z dwóch niezależnych skanerów, bo żaden pojedynczy silnik antywirusowy nie wyłapuje stu procent zagrożeń. Trzeci krok, często pomijany, to zmiana wszystkich haseł z innego, czystego urządzenia, zanim ponownie zalogujesz się na zainfekowanym sprzęcie.

W trudniejszych przypadkach, gdy trojan zagnieździł się głęboko w systemie, jedynym pewnym rozwiązaniem bywa reinstalacja systemu operacyjnego od zera. Szkoda czasu na walkę z czymś, co i tak może wrócić po restarcie.

Czy antywirus zawsze wykryje trojana?

Nie. Przestępcy testują swoje złośliwe oprogramowanie na popularnych silnikach antywirusowych jeszcze przed wypuszczeniem go do sieci, dopóki żaden z nich go nie wykryje. To codzienność tej branży, nie wyjątek. Dlatego aktualizacje baz sygnatur, analiza heurystyczna i zdrowy rozsądek użytkownika liczą się bardziej niż sama marka programu ochronnego.

Czy przywrócenie systemu do punktu przywracania usunie trojana?

Czasem tak, czasem nie. Jeśli trojan zdążył zapisać się w sektorze rozruchowym albo w firmware urządzenia, punkt przywracania systemu Windows go nie dotknie. To rozwiązanie działa najlepiej przy świeżych, prostych infekcjach, nie przy zaawansowanych rootkitach.

Jak skutecznie chronić się przed trojanami?

Nie ma jednego cudownego narzędzia, które załatwi sprawę raz na zawsze. Jest za to kilka nawyków, które razem dają realną różnicę.

Aktualizuj system i przeglądarkę regularnie, bo większość exploitów wykorzystywanych przez trojany atakuje luki znane i już załatane, tylko nikt nie zainstalował poprawki. Nie otwieraj załączników od nieznanych nadawców, nawet jeśli temat e-maila wygląda pilnie i oficjalnie. Włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie się da, bo samo hasło przechwycone przez keyloggera przestaje mieć znaczenie, gdy do zalogowania potrzebny jest jeszcze kod z telefonu.

Rób kopie zapasowe ważnych plików na nośniku odłączonym fizycznie od sieci. To jedyna skuteczna obrona przed ransomware trojanem, który i tak w końcu zaszyfruje dysk komuś, kto zignoruje te zasady przez kolejny rok.

Czy wystarczy sam program antywirusowy?

Nie wystarczy. Antywirus łapie znane zagrożenia i część nowych dzięki heurystyce, ale najskuteczniejszą linią obrony pozostaje człowiek, który nie klika we wszystko, co mignie mu na ekranie. Mówię to z doświadczenia, po kilku rozmowach z klientami, którzy mieli najlepszy pakiet ochronny na rynku i i tak padli ofiarą trojana, bo sami zezwolili mu na instalację.

Czy trojany atakują też smartfony z Androidem i iOS?

Owszem, choć skala i mechanizm różnią się między systemami. Android, ze względu na otwartość i możliwość instalacji aplikacji spoza oficjalnego sklepu, jest celem znacznie częściej. Trojany bankowe na Androida potrafią nakładać fałszywe okno logowania dokładnie w momencie, gdy użytkownik otwiera prawdziwą aplikację bankową, przechwytując dane w czasie rzeczywistym.

iOS, dzięki zamkniętemu ekosystemowi i rygorystycznej weryfikacji aplikacji w App Store, jest trudniejszym celem. Nie znaczy to, że niemożliwym. Zdarzały się przypadki złośliwego oprogramowania przemycanego przez profile konfiguracyjne albo nadużycie uprawnień korporacyjnych do dystrybucji aplikacji poza sklepem.

Co zrobić, jeśli padłem ofiarą trojana bankowego?

Zadzwoń do banku natychmiast i zablokuj dostęp do konta, zanim zrobisz cokolwiek innego. Potem zmień hasła z czystego urządzenia, zgłoś incydent na policję i do CERT Polska, a na koniec przeskanuj i wyczyść zainfekowany sprzęt zgodnie z opisaną wcześniej procedurą. Czas działa tu przeciwko tobie, więc kolejność ma znaczenie.

To nie jest przyjemne doświadczenie. Mimo to warto pamiętać, że większość banków w Polsce ma dobrze wypracowane procedury na takie sytuacje i szybka reakcja realnie zmniejsza stratę finansową.

Trojan nie zniknie sam, nie przestanie ewoluować i nie przestanie liczyć na ludzką nieuwagę. Pytanie, które warto sobie teraz zadać, brzmi inaczej niż “jak działa trojan”. Brzmi: kiedy ostatnio aktualizowałeś system i czy twoje hasło do poczty różni się od tego sprzed pięciu lat?

Pytania i odpowiedzi

• Czy trojan może się sam rozmnażać jak wirus? Nie. Trojan nie kopiuje się samodzielnie do innych plików ani urządzeń, wymaga uruchomienia przez użytkownika.
• Jak długo trojan może działać niezauważony? Zaawansowane warianty, zwłaszcza RAT-y, potrafią pozostawać ukryte tygodniami albo miesiącami, zbierając dane w tle.
• Czy reset do ustawień fabrycznych usuwa trojana ze smartfona? W zdecydowanej większości przypadków tak, o ile złośliwe oprogramowanie nie zainfekowało firmware urządzenia.
• Czy darmowy antywirus wystarczy do ochrony przed trojanami? Daje podstawową ochronę, ale warto uzupełnić go o zdrowy rozsądek, aktualizacje systemu i kopie zapasowe danych.
• Czy trojan może działać na routerze domowym? Tak, istnieją warianty infekujące firmware routerów, zwłaszcza tych z domyślnymi hasłami administratora.
• Co odróżnia trojana od phishingu? Phishing to metoda dostarczenia, czyli oszukanie ofiary, a trojan to sam złośliwy program, który często trafia na urządzenie właśnie przez atak phishingowy.

Bibliografia:
1. CERT Polska – https://cert.pl
2. NASK – https://www.nask.pl
3. Kaspersky – https://www.kaspersky.pl
4. ESET – https://www.eset.com
5. CISA – https://www.cisa.gov
6. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja