«ГИГАНТ — Компьютерные системы»: удалить spyware недостаточно
Обнаружение шпионского ПО на корпоративном компьютере или смартфоне обычно запускает стандартную процедуру: устройство проверяют антивирусом, вредоносную программу удаляют, после чего сотрудник возвращается к работе. Однако для службы информационной безопасности такой сценарий может оказаться опасным. За время присутствия spyware злоумышленник мог получить пароли, токены доступа, содержимое корпоративной переписки и другую конфиденциальную информацию. Даже после очистки устройства эти сведения остаются в его распоряжении.
Шпионское программное обеспечение представляет особую опасность для бизнеса из-за своей скрытности. В отличие от шифровальщиков, которые блокируют работу систем и требуют выкуп, spyware может неделями собирать информацию, практически не влияя на производительность устройства. Пользователь продолжает работать с корпоративной почтой, CRM, облачными хранилищами и внутренними приложениями, не подозревая, что часть данных передается третьей стороне.
Мы в «ГИГАНТ — Компьютерные системы» считаем, что при обнаружении spyware нужно оценивать не только состояние зараженного устройства, но и последствия возможной компрометации учетных записей. Если злоумышленник успел получить действующие токены или данные авторизации, удаление вредоносной программы не лишит его доступа к корпоративным ресурсам. Он может продолжить работу через ранее похищенную сессию, подключенное приложение или другую учетную запись.
В корпоративной инфраструктуре такой сценарий особенно опасен. Одно зараженное устройство может использоваться для доступа к нескольким системам, а компрометация учетных данных сотрудника способна затронуть ресурсы, на которых вредоносное ПО никогда не присутствовало.
Как spyware скрывается на Android и Windows
Современные шпионские программы все чаще используют возможности, изначально предусмотренные операционными системами для законных задач. Это осложняет обнаружение, поскольку подозрительная активность может почти не отличаться от работы обычного приложения или средства администрирования.
На Android одним из потенциально опасных механизмов становятся службы специальных возможностей Accessibility. Они предназначены для помощи пользователям с ограниченными возможностями, но при предоставлении соответствующих разрешений могут позволять приложению анализировать элементы интерфейса и взаимодействовать с экраном.
Злоумышленники используют эти функции для наблюдения за действиями пользователя, получения информации из приложений и автоматизации отдельных операций. Дополнительную опасность представляют расширенные права управления устройством, включая Device Admin, которые в определенных сценариях могут затруднить удаление вредоносного ПО.
Косвенными признаками заражения смартфона могут быть ускоренный разряд аккумулятора, необычный расход мобильного трафика, нагрев без заметной нагрузки, появление неизвестных приложений или неожиданные изменения разрешений.
Но каждый из этих симптомов может иметь обычное техническое объяснение. Например, аккумулятор быстрее разряжается после обновления системы, а увеличение трафика может быть связано с синхронизацией облачных данных. Поэтому делать вывод о заражении только по одному признаку нельзя.
На компьютерах под управлением Windows spyware нередко использует штатные механизмы автозапуска и администрирования. Программа может закрепляться через задания планировщика, системные службы, записи автозагрузки или постоянные подписки на события WMI.
Дополнительным индикатором становится нетипичная сетевая активность. Например, процесс, который обычно не взаимодействует с внешними ресурсами, начинает регулярно устанавливать соединения с неизвестными адресами или передавать необычные объемы данных.
В некоторых случаях злоумышленники используют легитимные инструменты администрирования или выполняют вредоносные действия преимущественно в оперативной памяти. Такой подход осложняет обнаружение средствами, ориентированными прежде всего на поиск известных вредоносных файлов.
Почему антивирусная проверка не всегда выявляет угрозу
Традиционная антивирусная защита остается необходимой, но ее возможностей может оказаться недостаточно для расследования сложной компрометации.
Если spyware маскируется под легитимное приложение, использует штатные системные инструменты или регулярно меняет свои компоненты, обнаружение требует анализа поведения устройства. Важно установить, какие процессы запускались, какие соединения создавались, какие изменения происходили в системе и какие действия не соответствуют обычному сценарию работы пользователя.
Для Windows такая проверка может включать анализ автозагрузки, запущенных процессов, служб, заданий планировщика, WMI-подписок, журналов событий и сетевых соединений.
На Android необходимо исследовать установленные приложения, предоставленные разрешения, изменения системных настроек и доступные следы подозрительной активности.
При подозрении на целевую атаку могут потребоваться специализированные инструменты мобильной криминалистики, включая Mobile Verification Toolkit (MVT). Однако возможности таких средств зависят от версии операционной системы, доступных диагностических данных и характера компрометации. Отсутствие обнаруженных индикаторов само по себе не подтверждает, что устройство безопасно.
Для корпоративной инфраструктуры полезно сопоставлять данные с конечных устройств с событиями сетевого мониторинга и журналами авторизации. Например, подозрительное соединение с рабочего компьютера становится гораздо значимее, если одновременно фиксируются необычные входы в корпоративные приложения или попытки доступа к ранее неиспользуемым ресурсам.
В «ГИГАНТ — Компьютерные системы» мы рассматриваем такую корреляцию как важную часть расследования. Проверка отдельного устройства позволяет обнаружить признаки заражения, но данные корпоративных систем помогают оценить, насколько далеко могла распространиться компрометация.
Что остается у злоумышленника после удаления программы
Самая серьезная ошибка при реагировании на spyware заключается в предположении, что удаление вредоносного компонента автоматически прекращает атаку.
За время присутствия на устройстве программа могла собрать пароли, данные авторизации, содержимое переписки, документы, резервные коды многофакторной аутентификации и другую чувствительную информацию.
При определенных условиях злоумышленник также может получить токены доступа или данные действующих пользовательских сессий. Это позволяет продолжать работу с корпоративными сервисами без повторного ввода пароля, пока соответствующий токен или сеанс остается действительным.
Поэтому даже смена пароля не всегда полностью решает проблему. Некоторые приложения сохраняют активные сессии после изменения учетных данных. Если компания не отзывает токены и не завершает сеансы принудительно, часть доступа может сохраниться.
Отдельного внимания требует корпоративная почта. Получив контроль над почтовой учетной записью, атакующий может настроить автоматическую пересылку сообщений, подключить стороннее приложение или получить доступ к другим сервисам через механизмы восстановления пароля.
Такие изменения способны пережить удаление spyware с первоначально зараженного устройства.
Аналогичная ситуация возможна с облачными хранилищами и корпоративными приложениями. Если злоумышленник получил действующие учетные данные или создал дополнительный способ авторизации, последующая активность может происходить уже напрямую через облачную инфраструктуру.
Для CISO это означает необходимость расследовать компрометацию на двух уровнях: выяснять, что происходило с устройством, и отдельно проверять действия с учетными записями и корпоративными ресурсами.
Как действовать после обнаружения spyware
Первое действие при выявлении подозрительной активности заключается в ограничении возможности дальнейшей передачи данных. Для корпоративного устройства может потребоваться изоляция от сети с сохранением управляемого доступа для специалистов по реагированию.
При этом не следует автоматически удалять все подозрительные файлы, очищать журналы или сбрасывать систему до сохранения необходимых данных. Если речь идет о целевой атаке, такие действия могут уничтожить следы, которые помогут установить способ проникновения и масштаб инцидента.
После первичной локализации необходимо определить, какие учетные записи использовались на зараженном устройстве и какие ресурсы были доступны пользователю.
Пароли следует менять с заведомо доверенного компьютера или смартфона. Одновременно нужно завершать активные сеансы, отзывать потенциально скомпрометированные токены, проверять подключенные устройства и разрешения сторонних приложений.
Для корпоративной почты важно проверить правила пересылки сообщений, делегированный доступ и подозрительные изменения настроек учетной записи.
В системах централизованной аутентификации и облачных сервисах необходимо изучить журналы входов: необычные адреса, новые устройства, нетипичное время активности, изменения способов аутентификации и попытки доступа к непривычным ресурсам.
Если у сотрудника были административные полномочия, расследование должно учитывать возможную компрометацию привилегированных учетных записей и связанных с ними систем.
В зависимости от обстоятельств может потребоваться перевыпуск ключей доступа, проверка сервисных учетных записей и пересмотр предоставленных полномочий.
Особое внимание стоит уделять сотрудникам, имеющим доступ к критически важной информации: администраторам, финансистам, руководителям, специалистам по разработке и сотрудникам, работающим с конфиденциальными данными клиентов.
В таких случаях последствия заражения могут выходить далеко за пределы одного рабочего места.
Когда устройство нужно переустановить полностью
После анализа инцидента необходимо принять решение о дальнейшей эксплуатации устройства.
Если обнаружена обычная вредоносная программа, ее компоненты полностью идентифицированы, механизм закрепления устранен и отсутствуют признаки более глубокой компрометации, может быть достаточно очистки системы с последующей проверкой.
При подозрении на целевую атаку, компрометацию привилегированных компонентов или неизвестные механизмы закрепления надежнее выполнить полную переустановку операционной системы из доверенного источника.
Для мобильного устройства может потребоваться сброс к заводским настройкам с последующим восстановлением только проверенных данных и приложений.
Однако переустановка тоже не заменяет работу с учетными записями. Если злоумышленник сохранил действующие токены, пароли или доступ к корпоративной почте, он может продолжить атаку без повторного заражения устройства.
Еще один риск связан с резервными копиями. При восстановлении необходимо исключить повторную установку вредоносных приложений, небезопасных конфигураций и других компонентов, которые могли использоваться для закрепления.
Как снизить риск повторной компрометации
Защита корпоративных устройств должна включать несколько взаимосвязанных механизмов.
На рабочих компьютерах необходимы регулярные обновления ОС и приложений, контроль устанавливаемого ПО, ограничение административных полномочий и мониторинг подозрительных процессов и сетевых соединений.
На мобильных устройствах важно контролировать источники установки приложений и предоставленные разрешения, особенно доступ к Accessibility и функциям администрирования.
Для централизованного управления корпоративными устройствами могут использоваться MDM- и EMM-решения. Они помогают применять политики безопасности, управлять конфигурациями, контролировать соответствие устройств установленным требованиям и ограничивать доступ при выявлении нарушений.
Отдельный приоритет связан с защитой учетных записей. Многофакторная аутентификация снижает вероятность использования похищенных паролей, а устойчивые к фишингу методы, включая аппаратные ключи безопасности, дополнительно защищают процесс входа.
При этом MFA не следует рассматривать как универсальную защиту от всех последствий spyware. Если атакующий получил действующий токен сессии, дополнительный фактор при повторном входе может не запрашиваться. Поэтому контроль активных сеансов, управление токенами и анализ авторизации остаются обязательными.
Для корпоративных систем также важны ограничение привилегий, регулярный пересмотр доступов и выявление необычных действий пользователей.
Мы в «ГИГАНТ — Компьютерные системы» считаем, что восстановление после заражения должно завершаться проверкой всей цепочки возможной компрометации: устройства, учетных записей, активных сессий и корпоративных ресурсов.
Для CISO показателем успешного реагирования становится подтвержденное устранение способов, которыми злоумышленник мог сохранить доступ. Если вредоносная программа удалена, но похищенные учетные данные продолжают работать, инцидент фактически остается незавершенным.
Поэтому при расследовании spyware важно установить, какие данные могли быть скомпрометированы, какие действия успел выполнить атакующий и какие возможности для повторного проникновения необходимо устранить. Именно от полноты этой проверки зависит, сможет ли компания восстановить контроль над инфраструктурой и предотвратить продолжение атаки.
