Zlonamjerni softver (malware): vrste i zaštita

Zlonamjerni softver, na engleskom malware, skupni je naziv za programe stvorene da naškode sustavu, ukradu podatke ili napadaču daju kontrolu nad uređajem. Virusi, crvi, trojanci, ransomware, špijunski softver i druge vrste razlikuju se po načinu širenja i cilju, ali ih veže ista namjera: doći u tuđi sustav i iskoristiti ga. U praksi se danas rijetko vidi jedna čista vrsta. Stvaran napad obično spaja više njih, primjerice trojanac kao ulaz, alat za skriveno kretanje kroz mrežu i ransomware na kraju. Zato razumijevanje vrsta nije akademska vježba, nego temelj za odluku gdje postaviti obranu i što uopće tražiti kad nešto pođe po zlu.

Za reguliranu hrvatsku tvrtku, primjerice u financijama, zdravstvu, kritičnoj infrastrukturi ili SaaS-u, zaraza malwareom nije samo IT problem. Šifrirani podaci, ukradena baza klijenata ili prekid usluge izravno pogađaju prihod, ugovorne obveze i povjerenje. Uz to, zaraza koja zahvati osobne podatke pokreće obveze prema GDPR-u i AZOP-u, a ozbiljan incident u subjektu obuhvaćenom NIS2, odnosno Zakonom o kibernetičkoj sigurnosti podliježe rokovima prijave. Pitanje za vodstvo nije hoće li malware pokušati ući, jer pokušaji su stalni, nego hoće li ga organizacija primijetiti na vrijeme i znati što učiniti. Ovaj tekst objašnjava vrste malwarea, kako ulazi i širi se, faze zaraze, znakove, slojevitu obranu i konkretne korake kad posumnjate na infekciju.

Ovo je dio našeg pregleda vrsta kibernetičkih napada. Otkrivanje i zaustavljanje malwarea gradimo kroz detekciju i odgovor na prijetnje te kontinuirani nadzor kroz upravljanu detekciju i odgovor.

Što je zlonamjerni softver

Malware je svaki kod napisan s namjerom da našteti, da pristup bez dopuštenja ili da omogući napadaču nešto što vlasnik sustava nije odobrio. To je ključna razlika u odnosu na običan kvar ili lošu konfiguraciju: iza malwarea stoji namjera. Sam kod može biti datoteka na disku, skripta koja se izvršava u memoriji, ili modul ubačen u legitiman proces. Zbog toga ga je sve teže prepoznati samo po izgledu datoteke.

Motiv je gotovo uvijek financijski ili strateški. Ransomware iznuđuje izravno. Špijunski softver i keyloggeri kradu podatke koji se prodaju ili iskorištavaju. Botneti iznajmljuju zaražene uređaje za druge napade. Razumijevanje motiva pomaže procijeniti rizik: tvrtka s vrijednim osobnim podacima ili velikim novčanim tokovima privlači drukčije napade od one koja nema te vrijednosti, pa i obrana mora biti usmjerena na ono što napadač zapravo želi.

Vrste zlonamjernog softvera

Vrste se razlikuju po načinu širenja i po tome što rade kad uđu. U stvarnom napadu se kombiniraju, pa ih treba čitati kao gradivne dijelove, a ne kao izolirane kategorije.¹ Tablica niže daje pregled najčešćih.

Posebno valja istaknuti dva trenda. Ransomware je prešao na dvostruku iznudu, gdje napadač prvo ukrade podatke, pa ih tek onda šifrira, kako bi imao polugu i ako tvrtka ima dobre sigurnosne kopije. Bezdatotečni napadi sve su češći jer zaobilaze obranu temeljenu na prepoznavanju datoteka, što je glavni razlog zašto klasični antivirus više nije dovoljan.

Kako se malware širi

Gotovo svaka zaraza počinje na jednom od nekoliko predvidljivih ulaza. To je dobra vijest za obranu, jer znači da se napor može usmjeriti na mjesta koja stvarno koriste napadači.¹ Ulazi se rijetko mijenjaju, mijenjaju se samo tehnike.

• Phishing poruke sa zaraženim privicima ili poveznicama ostaju najčešći prvi ulaz, jer ciljaju čovjeka, a ne tehnologiju. Detaljno ih obrađujemo u tekstu o phishingu i socijalnom inženjeringu.
• Neukrpane ranjivosti u softveru i operativnim sustavima, koje napadači iskorištavaju često unutar nekoliko dana od objave zakrpe.
• Zaraženi USB uređaji, piratski softver i lažne instalacijske datoteke preuzete s nepouzdanih izvora.
• Kompromitirane web stranice koje kroz ranjivost preglednika ubacuju kod bez ikakve radnje korisnika.
• Lanac opskrbe, gdje napadač zarazi softver ili ažuriranje pouzdanog dobavljača i tako dođe do svih njegovih korisnika odjednom.

Rizik lanca opskrbe zaslužuje posebnu pozornost jer zaobilazi povjerenje. Tvrtka može imati urednu obranu, a ipak biti zaražena kroz legitimno potpisano ažuriranje dobavljača kojem opravdano vjeruje. Zato upravljanje rizikom dobavljača i provjera porijekla softvera postaju dio obrane od malwarea, a ne odvojena tema.

Faze zaraze

Ozbiljan napad malwareom nije jedan trenutak, nego niz koraka koji se odvijaju kroz sate ili dane. Razumijevanje tih faza pokazuje zašto je rano otkrivanje toliko vrijedno: što ranije u lancu napad prekinete, to je manja šteta.

1. 01
   Početni ulaz

   Korisnik otvori privitak, klikne na poveznicu, ili napadač iskoristi ranjivost. U sustav dospijeva mali, često neupadljiv kod.
2. 02
   Izvršavanje i učvršćivanje

   Kod se pokreće i osigurava trajnost, primjerice ubacivanjem u proces koji se diže pri svakom paljenju, kako bi preživio ponovno pokretanje.
3. 03
   Komunikacija s napadačem

   Malware uspostavlja vezu s upravljačkim poslužiteljem (C2) i čeka naredbe ili preuzima dodatne alate.
4. 04
   Kretanje kroz mrežu

   Napadač traži vrednije mete, krade vjerodajnice i širi se na druge sustave, često zloupotrebom legitimnih administratorskih alata.
5. 05
   Postizanje cilja

   Tek na kraju dolazi vidljiva šteta: šifriranje podataka, krađa baze ili sabotaža. Do tog trenutka napad je obično bio tih.

Pouka je jasna. Vidljiva šteta je posljednja faza, a ne prva. Većina vremena napadač provede tiho u sustavu, što je upravo prozor u kojem dobra detekcija može zaustaviti napad prije katastrofe.

Kako prepoznati znakove zaraze

Moderni malware nastoji ostati skriven, ali rijetko je potpuno nevidljiv. Ostavlja tragove koje vrijedi shvatiti ozbiljno: nagli i neobjašnjivi pad performansi, neobičan odlazni mrežni promet prema nepoznatim adresama, neočekivani skočni prozori, sigurnosni alati koji se sami gase ili se ne mogu pokrenuti, novi nepoznati procesi i datoteke koje se odjednom ne mogu otvoriti. Računi s kojih stižu prijave aktivnosti koju vlasnik nije izvodio također su jak signal.

Problem je što pojedinačan znak lako prođe kao obična smetnja. Spor laptop svatko pripiše starosti uređaja. Zato znakove treba gledati zajedno i u kontekstu, što rade alati za detekciju opisani u tekstu o SIEM-u, EDR-u i XDR-u. Sustav koji povezuje signale s više uređaja vidi obrazac koji čovjek na jednom računalu ne primijeti.

Obrana u slojevima

Ne postoji jedan alat koji zaustavlja malware. Obrana radi jer je posložena u slojeve koji zajedno otežavaju i ulazak i širenje, pa napadač koji probije jedan sloj naiđe na sljedeći. To je načelo dubinske obrane i temelj kontrola iz ISO/IEC 27001:2022.

• Napredna detekcija na krajnjim točkama (EDR/XDR) prati ponašanje procesa, a ne samo potpise, pa hvata i nove i bezdatotečne napade.
• Redovito i brzo krpanje (patch management) zatvara ranjivosti prije nego ih napadači iskoriste.
• Načelo najmanjih ovlasti znači da nijedan račun nema više prava nego što mu treba, čime se zaraza jednog računa ne pretvara odmah u kompromitaciju cijele mreže.
• Mrežna segmentacija odvaja kritične sustave, pa se malware ne može slobodno širiti od jednog zaraženog uređaja do svih ostalih.
• Sigurnosne kopije koje su redovite, odvojene i nepromjenjive (offline ili immutable) omogućuju oporavak i kad ransomware uspije.
• Edukacija zaposlenika smanjuje uspješnost phishinga, koji je i dalje najčešći prvi ulaz.

Slojevi nisu jednako vrijedni za svaku tvrtku. Po našem iskustvu, kombinacija brzog krpanja, EDR-a i ispravnih sigurnosnih kopija pokriva najveći dio realnog rizika, a stvarna procjena prioriteta ovisi o vašem okruženju i poslovnom modelu. Sigurnosne kopije zaslužuju posebnu pažnju jer su zadnja crta obrane. Ako su dostupne preko iste mreže koju ransomware zarazi, napadač ih može šifrirati zajedno sa svime ostalim, pa zato moraju biti odvojene i provjerene testiranjem oporavka.

Zašto su detekcija i odgovor ključni

Prevencija nikad nije savršena. Zakrpe kasne, korisnici klikću, dobavljači budu kompromitirani, a uvijek postoji ranjivost za koju zaštita još ne postoji. Realna pretpostavka nije da ćete spriječiti svaki ulaz, nego da će prije ili kasnije netko proći. Kad to prihvatite, pitanje se mijenja iz kako spriječiti baš sve u koliko brzo ćemo primijetiti i zaustaviti napad koji je već unutra.

Pitanje nije hoće li napadač ući, nego hoćete li ga primijetiti prije nego nanese štetu.

Tu počinju detekcija i odgovor. Detekcija znači stalno tražiti tragove napadača koji je probio prevenciju, kroz nadzor ponašanja, korelaciju zapisa i lov na prijetnje. Odgovor znači imati ljude i postupke koji na otkrivenu prijetnju reagiraju u minutama, izoliraju zaraženi uređaj i zaustave širenje. Mnogim tvrtkama to je teško održavati interno jer traži stručnjake dostupne u svako doba, pa se okreću upravljanoj detekciji i odgovoru (MDR), gdje vanjski tim preuzima nadzor i prvu reakciju. Sve to počiva na unaprijed pripremljenom planu odgovora na incidente, bez kojeg se i dobra detekcija gubi u kaosu prvih sati.

Koraci kad posumnjate na infekciju

Ako posumnjate da je uređaj zaražen, redoslijed poteza odlučuje koliko će šteta narasti. Sljedeći koraci drže situaciju pod kontrolom i čuvaju dokaze potrebne za istragu i moguću prijavu.

1. 01
   Izolirajte uređaj, ne gasite ga

   Odspojite zaraženo računalo s mreže (žica i Wi-Fi) da spriječite širenje, ali ga nemojte gasiti. Gašenje briše tragove u memoriji koji su važni za istragu.
2. 02
   Ne plaćajte i ne brišite naglo

   Kod ransomwarea ne plaćajte otkupninu i ne počinjite brisati ili vraćati sustav prije nego se zna opseg. Naglo čišćenje uništava dokaze i može sakriti drugu, dublju zarazu.
3. 03
   Aktivirajte plan odgovora

   Obavijestite određenu osobu ili tim i krenite po unaprijed dogovorenom planu odgovora na incidente. Zabilježite vrijeme, što se dogodilo i koje uređaje sumnjate.
4. 04
   Sačuvajte dokaze

   Sačuvajte zapise, snimke i poruke koje su prethodile zarazi. Oni pomažu utvrditi ulaz i opseg, a potrebni su i za eventualnu prijavu nadzornom tijelu.
5. 05
   Procijenite opseg prije oporavka

   Utvrdite koji su sustavi i podaci zahvaćeni i je li napadač imao pristup osobnim podacima, jer to pokreće rokove iz GDPR-a i Zakona o kibernetičkoj sigurnosti.²
6. 06
   Oporavak iz čistih kopija

   Vraćajte sustave tek kad ste sigurni da je napadač uklonjen, i to iz provjereno čistih sigurnosnih kopija, kako ne biste vratili i sam malware.

Kako Raptoric pomaže

Pomažemo tvrtkama da prepoznaju i zaustave malware prije nego šteta naraste. Kroz detekciju i odgovor na prijetnje postavljamo nadzor ponašanja i lov na prijetnje prilagođen vašem okruženju, a kroz upravljanu detekciju i odgovor preuzimamo kontinuirani nadzor i prvu reakciju kad nemate interni tim dostupan u svako doba. Otpornost obrane prije incidenta provjeravamo kroz penetracijsko testiranje. Dogovorite uvodni razgovor.