ტროიანი: შენიღბვა, საყურადღებო ნიშნები და რეაგირება

რა არის ტროიანი

ტროას ცხენი სანდო აპლიკაციად ან ფაილად შენიღბული მავნე პროგრამაა. გაშვების შემდეგ დამალულმა კოდმა შეიძლება ინფორმაცია მოიპაროს, დისტანციური წვდომა შექმნას ან სხვა მავნე პროგრამა ჩამოტვირთოს. „ტროიანული ვირუსი“ ტექნიკურად არაზუსტია: ვირუსი ფაილებს ებმის და მრავლდება, ტროიანი კი თვითგამრავლებით არ განისაზღვრება. მომხმარებლის მიერ მატყუარა ფაილის გახსნა გავრცელებული გზაა, თუმცა დატვირთვის გაშვება სხვა მავნე კომპონენტსაც შეუძლია; მოგვიანო დატვირთვა შეიძლება თავისით გავრცელდეს. ჭიას ქსელში მომხმარებლის ჩარევის გარეშე გავრცელება შეუძლია.

ტროას ცხენის ანალოგია

სახელი ხის ცხენზე ძველი ბერძნული ამბიდან მოდის: ქალაქის მცხოვრებლებმა ის უწყინარ საჩუქრად მიიღეს და არ იცოდნენ, რომ შიგნით მყოფი ჯარისკაცები ღამით კარიბჭეს გააღებდნენ. ციფრულ ტროიანებსაც შეუძლიათ არასასურველი ქცევის დამალვა სანდოდ მოჩანილ საგანში. შეამოწმეთ ფაილის წყარო და ხელმოწერა; მათ რისკის შეფასებაში დახმარება შეუძლია, თუმცა უვნებლობას არ ამტკიცებს. საეჭვო ნიმუში ჩვეულებრივ მოწყობილობაზე მხოლოდ ქცევაზე დასაკვირვებლად არ გაუშვათ; გაწვრთნილ ანალიტიკოსებს მისი იზოლაციაში გამოკვლევა შეუძლიათ.

როგორ ვითარდება ტროიანის შეტევა

ტროიანის შეტევა ოთხ ეტაპად შეიძლება განვითარდეს. კონტროლი თითოეულ ეტაპს მოარგეთ.

1. 01

   შენიღბვა

   მავნე კოდი შეიძლება უფასო ხელსაწყოდ, გატეხილ ფასიან პროგრამად, თამაშის მოდად ან ყალბ განახლებად შენიღბონ. ინვოისის PDF‑იც შეიძლება სატყუარა იყოს მავნე ბმულამდე, დანართამდე ან აქტიურ შიგთავსამდე; ყველა PDF შესრულებადი ტროიანული აპლიკაცია არ არის.

2. 02

   მიწოდება

   ფაილი შეიძლება ფიშინგის ელფოსტით ან დანართით, ყალბი თუ კომპრომეტირებული საიტით, მავნე რეკლამით, აპლიკაციის ყალბი ჩანაწერით ან USB დისკით მოვიდეს.

3. 03

   შესრულება

   მომხმარებელმა შეიძლება ფაილი გახსნას ან აქტიური შიგთავსი ჩართოს; დატვირთვის გაშვება სხვა მავნე კომპონენტსაც შეუძლია. გარეგნული პროგრამა შეიძლება მუშაობდეს, პარალელურად დამალული კოდი ფონურად ეშვებოდეს და ამაღლებულ წვდომას ითხოვდეს.

4. 04

   დატვირთვა და მდგრადი დამკვიდრება

   დატვირთვამ შეიძლება პაროლები და მონაცემები მოიპაროს, დისტანციური მართვა ჩართოს, მოწყობილობა ბოტნეტში გააწევრიანოს ან გამოსასყიდის მომთხოვნი პროგრამა ჩამოტვირთოს. ზოგი ტროიანი მდგრადობას გაშვების პარამეტრების შეცვლითა და თავდამსხმელის მართვის სერვერთან კავშირით ინარჩუნებს.

ტროიანის გავრცელებული ტიპები

ტროიანის დატვირთვები განსხვავდება და ერთ ნიმუშში რამდენიმე ფუნქცია შეიძლება გაერთიანდეს.

ისტორიული მაგალითები: Zeus და Emotet

Zeus და Emotet სხვადასხვა პერიოდში ფინანსური მონაცემების მოსაპარად და სხვა მავნე პროგრამების მისაწოდებლად გამოიყენებოდა.

გამოსაკვლევი საყურადღებო ნიშნები

თითოეულ ნიშანს სხვა მიზეზებიც შეიძლება ჰქონდეს; ერთი სიმპტომი ინფექციას არ ამტკიცებს. მიუხედავად ამისა, სამუშაო მოწყობილობაზე სერიოზული სიგნალი უსაფრთხოებას სწრაფად შეატყობინეთ და გამოკვლევისთვის ჩანაწერები შეინახეთ.

რატომ არის ტროიანი ორგანიზაციისთვის მნიშვნელოვანი

ერთ მოწყობილობაზე საწყისი ინფექცია უფრო ფართო ინციდენტად შეიძლება იქცეს, როცა თავდამსხმელი პრივილეგიების მიღებას, ავტორიზაციის მონაცემების მოპარვასა და სხვა სისტემებზე გადასვლას ცდილობს. შედეგები შეიძლება მოიცავდეს მონაცემთა გამჟღავნებას, ფინანსურ თაღლითობას, სერვისის შეფერხებას, აღდგენის ხარჯებსა და ნდობის დაკარგვას. მხოლოდ ცნობილი სიგნატურების შემმოწმებელმა ხელსაწყომ ახალი ან შეცვლილი ნიმუში შეიძლება გამოტოვოს; ქცევის მონიტორინგი, შეზღუდული წვდომა და დროული გამოკვლევა დამატებით დაფარვას უზრუნველყოფს.

მრავალფენიანი დაცვა ააგეთ

ოპერაციულ სისტემებსა და აპლიკაციებს პატჩები დაუყენეთ; თანამშრომლებს ასწავლეთ მოულოდნელი ფაილებისა და ბმულების გადამოწმება და პროგრამების მხოლოდ ოფიციალური წყაროებიდან ჩამოტვირთვა. ჩვეულებრივი სამუშაოსთვის მომხმარებლებს ადმინისტრატორის უფლებები ნუ მიანიჭებთ. გამოიყენეთ ელფოსტისა და ვების ფილტრაცია და MFA; მრავალფაქტორიან ავთენტიფიკაციას მოპარული პაროლის ღირებულების შემცირება შეუძლია. გამოიყენეთ ბოლო მოწყობილობების ხელსაწყოები, რომლებიც საეჭვო ქცევას აკვირდება და გამოკვლევას უწყობს ხელს. სარეზერვო ასლები ცალკე დაიცავით და აღდგენა შეამოწმეთ.

შვიდი ქმედება ინფექციის ეჭვისას

ეს შვიდი ქმედება მკაცრი უნივერსალური მიმდევრობა არ არის. პირად მოწყობილობაზე ზიანი შეზღუდეთ და დახმარება მოიძიეთ. სამუშაო მოწყობილობაზე ინციდენტზე პასუხისმგებელი პირი წყვეტს, როგორ დაალაგოს ან პარალელურად წარმართოს შეკავება, მტკიცებულებების მოპოვება, შემოწმებები, ანგარიშების დაცვა და აღდგენა.

1. 01

   გათიშეთ ქსელიდან

   გავრცელებისა და მონაცემთა გადაცემის შესამცირებლად შესაბამისი იზოლაცია შეაფასეთ. სამუშაო მოწყობილობაზე გათიშვა ინციდენტზე პასუხისმგებელ პირთან შეათანხმეთ სისტემის უსაფრთხოების, დისტანციური მართვისა და მტკიცებულებების გათვალისწინებით.

2. 02

   შეატყობინეთ უსაფრთხოებას

   IT‑ს ან უსაფრთხოებას სწრაფად შეატყობინეთ. აღრიცხეთ, რა დაინახეთ და როდის, გაწმენდამდე შეინახეთ შესაბამისი ჩანაწერები და მტკიცებულებები და მოწყობილობის ჩუმად „შეკეთება“ არ სცადოთ.

3. 03

   ჩაატარეთ სრული სკანირება

   გაწვრთნილმა, უფლებამოსილმა რეაგირების პირებმა განახლებული ხელსაწყოებით შესაბამისი შემოწმებები უნდა ჩაატარონ, საჭიროებისას სრული სკანირების ჩათვლით. დაუფიქრებლად არ გადატვირთოთ და არ ჩატვირთოთ „სუფთა გარემო“, თუ ამით მოქმედი სისტემის მტკიცებულებები შეიძლება დაიკარგოს.

4. 04

   აღმოჩენილი საფრთხეები იზოლაციაში მოაქციეთ

   შესაბამისი მტკიცებულებების შეგროვების შემდეგ აღმოჩენილი საფრთხეები რეაგირების გეგმით კარანტინში გადაიტანეთ ან წაშალეთ; უცნობი პროგრამებიც გამოიკვლიეთ.

5. 05

   პაროლები სუფთა მოწყობილობიდან შეცვალეთ

   დაზიანებული ანგარიშები სანდო მოწყობილობიდან დაიცავით: შეცვალეთ პაროლები და სადაც მხარდაჭერილია, გააუქმეთ საეჭვო სესიები ან ტოკენები. დაზიანებული ანგარიშების გამოსავლენად რეაგირების პირებთან ითანამშრომლეთ.

6. 06

   დაადგინეთ მასშტაბი

   რეაგირების მთელი პროცესის განმავლობაში გამოიკვლიეთ, დაზიანდა თუ არა სხვა მოწყობილობები ან ანგარიშები; მასშტაბის შეფასება წაშლის შემდეგისთვის არ დატოვოთ.

7. 07

   აღადგინეთ სუფთა ასლიდან

   გადაამოწმეთ სარეზერვო ასლი ან სისტემის იმიჯი, აღმოფხვერით შესვლის გზა და მდგრადი დამკვიდრების მექანიზმები, აღადგინეთ დაზიანებული მონაცემები და სისტემა შეამოწმეთ. ქსელთან ხელახლა დაკავშირებამდე აღდგენა დაადასტურეთ.

ტროიანის როლები და დატვირთვები

ტროიანის სახელები სხვადასხვა როლსა და დატვირთვას აღწერს. RAT ან ფარული შესასვლელი დისტანციურ წვდომას იძლევა; საბანკო ტროიანი ფინანსურ მონაცემებს უმიზნებს; ჩამომტვირთავი ან დამყენებელი სხვა დატვირთვას აწვდის; ჯაშუშური პროგრამა ინფორმაციას აგროვებს. რუტკიტს დამალვის უზრუნველყოფა შეუძლია, ყალბი ანტივირუსი კი თაღლითობის ინტერფეისად შეიძლება მოქმედებდეს. მოტყუებით მიწოდებულმა ტროიანმა გამოსასყიდის მომთხოვნ დატვირთვამდე შეიძლება მიგვიყვანოს; დაშიფვრა და გამოძალვა ამ დატვირთვის შედეგებია. ერთ ნიმუშში რამდენიმე როლი შეიძლება გაერთიანდეს.