Taki sobie e‑mail czyli jak się nie dać oszukać

Wiele się ostatnio mówi i pisze o cyber bezpieczeństwie. Wypowiadają się fachowcy, wypowiadają amatorzy, jedni i drudzy ostrzegają, zalecają prewencję i udzielają mniej lub bardziej profesjonalnych porad. Oprócz tego naszych maszyn (komputerów, smartfonów) strzegą całe armie programów antywirusowych czy antyszpiegowskich. Czy jesteśmy wobec tego bezpieczni? Oczywiście, że NIE!

Okazuje się bowiem, że nawet mocno zaawansowane "sito" potrafi przepuścić niejedno zagrożenie. Przykład? Ot choćby taki sprzed kilku dni.

Koleżanka z działu handlowego otrzymała interesujący w sensie merytorycznym e‑mail z dwoma załącznikami w postaci plików worda (docx). Co ważne, owy e‑mail bezproblemowo "przeszedł" przez zaporę złożoną z antywirusa na serwerze pocztowym (Exchange) oraz na lokalnej stacji roboczej.

Jako, że owa osoba należy do dosyć świadomych zagrożeń użytkowników, postanowiła najpierw sprawdzić firmę od której teoretycznie otrzymała wiadomość. Nadawcą e‑mail'a był niejaki Jan Scur a anonsował się jako pracownik firmy Adler Steel Limited (www.adlersteel.com). Co ciekawe takie przedsiębiorstwo, choćby w teorii, istnieje! Mają stronę www, są obecni na FB, mają siedzibę, mają jakiś swój profil produkcji.

Natomiast czy tak jest w rzeczywistości? Zapewne tak. Nie jest bowiem problemem podszyć się pod jakąś już istniejącą firmę i bez owijania w bawełnę powiem, że tak właśnie było w tym przypadku. Zapewne laika nawet zastanowiłoby bowiem dlaczego potężna firma operująca na terenie Stanów Zjednoczonych i Kanady, używa do wysyłania korespondencji elektronicznej, poczty oferowanej przez Google (Gmail) a nie poczty ze swojej własnej domeny? Ciekawe nie? No właśnie!

Zagadką pozostaje również kwestia osoby czyli ww. Jana Scur'a, nadawcy wiadomości - choć w sumie dla naszych rozważań nie jest to zbytnio istotne. Oczywiście, można by pójść krok dalej i zweryfikować u źródła czy taki człowiek istnieje i, co ważniejsze, czy w ogóle pracuje w Adler Steel ale chodzi mi bardziej o pokazanie samego mechanizmu niż szukanie jego źródła czy genezy. Od tego są znacznie lepsze serwisy, że wspomnę choćby o tym lub tamtym.

W każdym razie wyżej wymieniona koleżanka była na tyle przeczulona na zagrożenie, że mimo pozytywnych przesłanek, postanowiła mimo wszystko owego mejla przekazać do mnie aby upewnić się czy może bezpiecznie otworzyć załączone do niego pliki.

Co ciekawe, na zainfekowaną wiadomość zupełnie nie zareagował ESET (aktualny!) czym byłem niezmiernie zdziwiony choć ostatecznie trzeba mu zwrócić honor i zawczasu dodać, że zaczął alarmować dopiero przy próbie uruchomienia jednego z załączników.

Wiedziony ciekawością postanowiłem skorzystać z on‑line'owego Virus Totala i poddać oba pliki jego inspekcji. Wyniki? No cóż, również nie okazały się do końca miarodajne ponieważ część silników antywirusowych informowała o potencjalnym zagrożeniu ale z kolei inne (min. ESET!) zachowały status "clean".

Dlaczego? Zapewne większa część nie zdążyła jeszcze zaktualizować swoich próbek i na dzień 14.11 wyglądało to właśnie tak.

No dobrze, pozostaje więc pytanie czy owe załączniki na pewno były próbą zainfekowania komputera(ów)? Może Jan Scur to jak najbardziej prawdziwa osoba, reprezentująca Adler Steel Limited, która tylko przez przypadek wysłała atrakcyjną ofertę handlową z prywatnego konta na gmail'u? Hmmm... to możliwe tak? Aby się jednak o tym przekonać skorzystałem z uprzejmości VirtualBox'a i na wirtualnych maszynach z Windows XP (z wykorzystaniem FileFormatConverters do odczytywania plików docx), Windows 7 i Windows 10 spróbowałem odczytać oba podejrzane załączniki.

Na "Okienkach" z systemami w wersjach, odpowiednio 7 i 10 uruchomienie podejrzanych plików wygenerowało jedynie poniższy komunikat:

Nic więcej się nie wydarzyło, nic nie wybuchło ani też nie zostało zaszyfrowane. Oczywiście na wszelki wypadek przywróciłem system na wirtualnej maszynie do stanu sprzed testów. Po co kusić los?

Na Windows XP wyglądało to nieco inaczej - próba odczytania jednego z plików worda, kończyła się każdorazowo zapisaniem tego właśnie pliku w dwóch innych formatach (txt i doc) w tej samej lokalizacji.

Dlaczego tak? A któż to wie... W każdym razie próba odczytania z kolei tych właśnie utworzonych plików powodowała... kolejne próby zapisu pod tym samymi nazwami.

Jedno jest pewne - nie były to zwykłe dokumenty docx z informacją handlową. Oba pliki miały wywołać konkretną akcję i jak mniemam nie miało to być nic dobrego dla użytkownika komputera - a co konkretnie? Ciężko zgadywać. Może maszyna miała się stać częścią jakiegoś botnetu, może miała połączyć się z jakimś adresem w sieci i pobrać sobie, dajmy na to, keylogger? Możliwości jest sporo a większości z nich lepiej uniknąć.

W każdym razie maszynę wirtualną z XP również przywróciłem do stanu początkowego a zwieńczeniem tego wpisu niech będzie przypomnienie, że w każdej chwili trzeba uważać a niewinnie wyglądający e‑mail może stanowić poważne zagrożenie.