Malware
Malware (malicious software) to zbiorcza etykieta na oprogramowanie zaprojektowane, by szkodzić systemowi, danym, prywatności albo dostępności usługi. Pod spodem siedzą węższe klasy: ransomware, infostealer, worm, trojan, spyware, adware, miner, wiper, backdoor. Marketing lubi jedno słowo. Analiza lubi precyzję, bo reakcja na szyfrowanie dysku różni się od reakcji na wyciek cookie.
Na blackweb.pl malware opisuję od strony skutku i obiegu: co wychodzi z maszyny, kto na tym zarabia, jak wygląda obrona i forensyka. Bez laboratoryjnych PoC i bez mapy “jak odpalić”.
Po co ta parasolowa nazwa
Bo wektor bywa wspólny, a ładunek się zmienia. Ten sam phishing może dostarczyć stealer w poniedziałek i ransomware w środę. Ten sam exploit na brzegu może skończyć się botnetem albo wiperem. Parasol “malware” pozwala mówić o infekcji, zanim lab poda rodzinę. Później etykieta się zawęża.
Wirus w sensie podręcznikowym (doklejanie do plików) wciąż istnieje, ale w nagłówkach 2020+ dominują stealery, ransomware i IoT boty. Słownik trzyma obie perspektywy.
Skąd wchodzi
Załączniki i linki. Fałszywe instalatory i cracki (trojan). Luki w usługach sieciowych (worm, vulnerability). Złośliwe reklamy i bundel (adware). Łańcuch dostaw. Skradzione konta RDP/VPN. Każdy punkt to osobna decyzja w threat modelu, nie jedna checklista.
Po wejściu część rodzin od razu eksfiltruje. Inne czekają, ruszają się lateralnie, kasują backupy, dopiero potem szyfrują. Stąd “mam antywirusa” nie kończy rozmowy o backupie offline i o segmentacji.
Skutki, które liczą się w praktyce
Utrata danych albo dostępności. Wyciek haseł i sesji. Udział stacji w DDoS albo spamie przez botnet. Szantaż publikacją (double extortion). Koszt przestoju i reputacji. Dla osoby prywatnej: przejęta poczta jako klucz do reszty życia cyfrowego. Dla firmy: SSO i panele admina na jednej zainfekowanej przeglądarce.
Teksty Infostealery. Logi po infekcji oraz wpisy o ransomware na blogu rozbijają te skutki na konkretne artefakty.
Rynek i tempo
Część malware jest pisana pod konkretną kampanię. Część krąży jako towar: builder, panel, abonament na hosting C2. Operator nie musi być autorem kodu. Wystarczy budżet i lista celów. Stąd w raportach powtarzają się te same rodziny w różnych branżach. Zmienia się opakowanie i wektor, rzadziej cała logika.
Dla czytelnika dziennika wniosek jest trzeźwy: aktualność zagrożenia mierzy się obrotem logów i okupów, nie liczbą artykułów w mediach. Gdy stealer tanieje, rośnie fala przejętych sesji. Gdy łatka na brzegowy CVE wychodzi w piątek, poniedziałek należy do skanerów.
Obrona bez magicznego pudełka
Aktualizacje. Ograniczenie uprawnień. Backup 3-2-1 z kopią offline. Filtracja poczty i polityka załączników. 2FA i menedżer haseł. EDR i świadomość, że sygnatury nie łapią wszystkiego. Po alercie: izolacja hosta, rotacja sekretów, unieważnienie sesji, czasem reimage. Opsec na stacjach z wrażliwymi kontami: kompartmentacja, żeby jeden pechowy plik nie siedział obok wszystkiego.
Malware jest kategorią. Konkretna rodzina jest hipotezą do weryfikacji. Zaczynaj od skutku, potem nazywaj narzędzie.