Trojan (Koń trojański)
Trojan (koń trojański) to malware, które wchodzi pod przykrywką czegoś pożądanego albo przynajmniej akceptowalnego: cracka, “darmowego” office’a, fałszywego antywirusa, faktury PDF z makrami, instalatora gry. Mitologiczna metafora trzyma się, bo drzwi otwiera ofiara (albo automat w jej imieniu), a nie skaner sieciowy szukający CVE. Po uruchomieniu ładunek robi swoje: backdoor, spyware, ransomware, miner, infostealer.
Na blackweb.pl trojan to etykieta wektora zaufania. Nie piszę, który plik pobrać. Piszę, dlaczego ten wektor wciąż wygrywa mimo lat kampanii.
Czym różni się od wirusa i robaka
Klasycznie: wirus infekuje inne pliki i potrzebuje nosiciela; robak rozchodzi się sam po sieci; trojan nie musi się replikować. Czeka na uruchomienie. Współczesne raporty mieszają etykiety, bo jedna kampania łączy droppera-trojana z robakowym spreaderem w LAN. Dla ofiary ważniejszy jest skutek i skąd wziął się plik.
Trojany bankowe, FAKEAV, stealery pakowane jako “cheat” albo “activator” to warianty tego samego wzorca społecznego: obietnica wartości bez płatności albo pod presją strachu (“Twój PC jest zainfekowany, kliknij tutaj”).
Typowe przykrywki (opis, nie lista pobrań)
Fałszywe faktury i wezwania do zapłaty. Aktualizacje softu spoza oficjalnej strony. Generatory kluczy. “Bezpieczne” przeglądarki z bocznych forów. Aplikacje mobilne spoza oficjalnego sklepu. Phishing dostarcza link; trojan jest tym, co ląduje po kliknięciu. Social engineering ustawia scenę.
Część trojanów działa “zgodnie z opisem” przez chwilę: gra się uruchamia, a w tle idzie eksfiltracja. Inne od razu pokazują ransom note. Zachowanie zależy od operatora i od tego, co opłaca się w danym tygodniu na rynku ładunków.
Skutki i łańcuch
Jednorazowe uruchomienie potrafi zostawić trwały dostęp. Stąd po alercie sama “deinstalacja dziwnej apki” bywa za mała. Trzeba założyć kradzież haseł i cookie, sprawdzić autostart, rozważyć reimage. Teksty o infostealerach i o kradzieży sesji pokazują, co wychodzi z przeglądarki po takim wektorze.
W firmie trojan na stacji z SSO otwiera drogę dalej niż “jeden pechowy PDF”. Segmentacja i ograniczenie makr w Office zmniejszają powierzchnię. 2FA utrudnia monetyzację części kont, nie cofa już wykonanego kodu.
Obrona w tonie dziennika
Źródła oprogramowania. Sceptycyzm wobec cracków. Polityka załączników. Aktualne systemy (łatanie zmniejsza też skutki po wejściu). EDR jako warstwa, nie amulet. Opsec: osobne maszyny albo profile do rzeczy wrażliwych, żeby pechowy pobór “narzędzia” nie siedział obok sesji źródła.
W praktyce domowej najczęstszy błąd to mieszanie kont: ta sama sesja przeglądarki do banku, poczty i “darmowego aktywatora”. W praktyce firmowej: makra włączone globalnie i brak segmentacji między księgowością a resztą LAN. Trojan żywi się decyzją człowieka albo automatyzacją, która tę decyzję udaje. Zmniejszanie liczby takich decyzji działa lepiej niż kolejny baner “uważaj na załączniki”.