Wykrywanie Spyware i Malware

Kiedy warto wykonać analizę Spyware i Malware?

Analiza urządzenia może być zasadna w przypadku podejrzenia nieautoryzowanego dostępu, przejęcia konta, obecności nieznanych aplikacji lub procesów, nietypowej aktywności systemowej albo innych zdarzeń mogących wskazywać na naruszenie bezpieczeństwa:

• podejrzenie instalacji oprogramowania szpiegującego,

• pojawienie się nieznanych aplikacji, procesów lub usług,

• podejrzane logowania lub nieautoryzowana aktywność kont,

• nietypowa komunikacja sieciowa,

• podejrzenie przejęcia urządzenia lub danych,

• podejrzenie działania keyloggera, trojana, infostealera lub innego malware.

Zakres analizy Spyware i Malware

Zakres badania dobierany jest indywidualnie do rodzaju urządzenia, systemu operacyjnego oraz charakteru podejrzenia. W zależności od przypadku analiza może obejmować między innymi:

• zainstalowane aplikacje, procesy i usługi,

• mechanizmy autostartu i trwałości działania,

• konfigurację systemu oraz uprawnienia aplikacji,

• logi i inne artefakty systemowe,

• aktywność sieciową i ślady komunikacji,

• wskaźniki kompromitacji — Indicators of Compromise (IoC),

• ślady nieautoryzowanych zmian i dostępu,

• obecność spyware, trojanów, keyloggerów, infostealerów, backdoorów i innych form malware.

Analiza z zachowaniem wartości dowodowej

Jeżeli urządzenie lub znajdujące się na nim dane mogą mieć znaczenie dowodowe, przed podjęciem działań zmierzających do usunięcia zagrożenia w pierwszej kolejności należy zabezpieczyć materiał cyfrowy. Pozwala to zachować możliwość późniejszej analizy wykrytych śladów oraz udokumentowania wykonanych czynności.

W takich przypadkach badanie prowadzone jest zgodnie z zasadami informatyki śledczej, z uwzględnieniem integralności materiału oraz dokumentowania przebiegu analizy.

Co dzieje się po wykryciu zagrożenia?

Po potwierdzeniu obecności spyware lub malware określany jest odpowiedni sposób dalszego postępowania. W zależności od charakteru sprawy może on obejmować zabezpieczenie istotnych danych, neutralizację lub usunięcie zagrożenia oraz wzmocnienie konfiguracji bezpieczeństwa urządzenia.

Jeżeli sprawa może mieć charakter dowodowy, usunięcie zagrożenia powinno nastąpić dopiero po zabezpieczeniu i udokumentowaniu istotnych śladów.

Zalecenia dotyczące bezpieczeństwa

Po zakończeniu analizy możliwe jest przygotowanie zaleceń dotyczących aktualizacji systemu, konfiguracji kont, mechanizmów uwierzytelniania, uprawnień aplikacji oraz innych ustawień wpływających na bezpieczeństwo urządzenia.

Zakres zaleceń zależy od wykrytych zagrożeń, rodzaju urządzenia oraz charakteru przeprowadzonej analizy.

Profesjonalne standardy i poufność

Analizy prowadzone są z wykorzystaniem metod i narzędzi stosowanych w informatyce śledczej. Kompetencje w zakresie badań urządzeń mobilnych potwierdzają specjalistyczne szkolenia oraz certyfikaty Cellebrite.

Każde zlecenie traktowane jest indywidualnie i poufnie. Zakres badania ustalany jest odpowiednio do charakteru sprawy, rodzaju urządzenia oraz celu analizy.