🎣 Sociální inženýrství a malware

Příběhy útoků

O čem to je

Proč by útočník hodiny lámal šifru, když může člověka prostě požádat o heslo? Většina úspěšných útoků začíná u lidí: podvodný e-mail, telefonát „z IT oddělení“, příloha, kterou někdo otevře. Za ní pak přichází škodlivý program.

Technika ochrání jen část. Druhou část chrání člověk, který podvod pozná. To je cíl tohoto tématu.

Nové pojmy

Sociální inženýrstvíManipulace lidí, aby sami prozradili tajné údaje nebo udělali něco, co útočníkovi pomůže. Využívá důvěru, strach, spěch, autoritu nebo zvědavost.„Tady IT podpora, potřebujeme hned vaše heslo, jinak se vám smaže schránka.“

PhishingHromadně rozesílaná podvodná zpráva, která se vydává za důvěryhodnou firmu nebo úřad a láká na falešnou stránku nebo k otevření přílohy.„Vaše zásilka čeká, doplaťte 32 Kč“ s odkazem na falešnou platební bránu.

MalwareŠkodlivý software: jakýkoli program napsaný, aby škodil, kradl nebo převzal kontrolu nad zařízením.Program v příloze „faktura.pdf.exe“.

Příběh 1: balíček, který nečekáš

Jana dostane SMS: „Zásilka nemohla být doručena. Uhraďte doplatek 32 Kč: dpd-cz-dorucenl.com.“ Stránka vypadá jako opravdová a chce číslo karty. Částka je malá, aby Jana nepřemýšlela. Ve skutečnosti útočník získá údaje z karty.

Smishing, vishing, spear phishingSmishing = phishing přes SMS. Vishing = přes telefonát (voice). Spear phishing = cílený na konkrétního člověka, s osobními detaily, aby byl uvěřitelný.Spear phishing: e-mail účetní, který zmiňuje jméno jejího šéfa a skutečný projekt.

Příběh 2: šéf, který spěchá

Účetní přijde e-mail od „ředitele“: „Jsem na jednání, nemůžu volat. Do hodiny pošlete zálohu 480 000 Kč dodavateli na tento účet. Je to důvěrné.“ Adresa je jen o písmeno odlišná. Tomu se říká CEO podvod. Pomůže jediné: ověřit si pokyn jinou cestou, třeba zavolat řediteli na známé číslo.

Jak phishing poznat

Tlak na čas a emoce: „do 24 hodin“, „účet bude zablokován“.
Odesílatel nebo odkaz z podobné, ale jiné domény (rn místo m, -cz-, .com místo .cz).
Žádost o heslo, kód nebo číslo karty – seriózní firma o ně e-mailem nežádá.
Nečekaná příloha, hlavně spustitelná, archiv nebo dokument s makry.
Neosobní oslovení nebo nezvyklý jazyk (dnes už ale bývá text bezchybný).

Příběh 3: co přijde po kliknutí

Virus – Připojí se k jinému souboru nebo programu a šíří se, když ho člověk spustí.
Červ – Šíří se sám po síti přes zranitelnosti, bez zásahu člověka.
Trojský kůň – Tváří se jako užitečný program, ale uvnitř skrývá škodlivou funkci.
Ransomware – Zašifruje data a požaduje výkupné; často data i ukradne a vydírá zveřejněním.
Spyware a keylogger – Tajně sleduje uživatele; keylogger zaznamenává stisky kláves (hesla).
Botnet – Síť napadených zařízení, která útočník ovládá na dálku (např. k útokům DDoS, tedy zahlcení serveru požadavky).

U každé karty si nejdřív zkus říct, čím je daný druh typický.

E-mail „Banka: Neobvyklé přihlášení. Ověřte účet do 2 hodin: https://moje-banka.cz.overeni-uctu.ru/login“. Najdi varovné znaky.

1) Časový tlak (2 hodiny). 2) Doména: skutečná doména je na konci před prvním lomítkem – overeni-uctu.ru, ne moje-banka.cz. 3) Žádost o přihlášení přes odkaz v e-mailu. Správně: odkaz neotvírat, banku otevřít ručně nebo v aplikaci a zprávu nahlásit.

Kolega volá: „Jsem z IT, vidím na tvém PC virus. Nainstaluj si program na vzdálenou pomoc a řekni mi kód.“ Co uděláš?

Je to typický vishing. Nic neinstaluj, kód neříkej. Hovor ukonči a zavolej na helpdesk na známé číslo z intranetu. Skutečné IT tě o kód ke vzdálené správě nežádá z ničeho nic.

✗Phishing se pozná podle špatné češtiny, takže bezchybný e-mail je v pořádku.

✓Dnešní phishing bývá napsaný bezchybně. Rozhoduje kontrola domény, žádost o údaje, tlak na čas a ověření jinou cestou.

Útočníci používají překladače a jazykové modely. Gramatika přestala být spolehlivý znak.

Sociální inženýrství manipuluje lidmi (phishing, smishing, vishing, spear phishing, CEO podvod). Varovné znaky: tlak na čas, cizí doména, žádost o údaje, nečekaná příloha. Za kliknutím často přijde malware: virus, červ, trojský kůň, ransomware, spyware.

Rozbor a obrana

O čem to je

Útoky na lidi a škodlivé programy mají své typy, cesty šíření a proti každému existují konkrétní opatření. Tady je přehledně rozebereme, ať je umíš pojmenovat a navrhnout obranu.

Nové pojmy

Sociální inženýrstvíÚtok na člověka místo na techniku: manipulací ho přimět, aby vydal údaje, pustil útočníka dovnitř nebo poslal peníze.Útočník v reflexní vestě projde s náručí krabic dveřmi, které mu někdo ochotně podrží.

Phishing a jeho variantyPodvodné zprávy vydávající se za důvěryhodného odesílatele. E-mail (phishing), SMS (smishing), telefon (vishing), cílený útok na konkrétní osobu (spear phishing).Falešná výzva „ověřte účet Microsoft 365“.

PretextingÚtočník si připraví uvěřitelnou smyšlenou historku (pretext), aby oběť měla důvod mu vyhovět.„Jsem nový technik od dodavatele tiskáren, potřebuji do serverovny.“

MalwareSouhrnný název pro škodlivé programy. Liší se tím, jak se šíří a co dělají.Ransomware, trojský kůň, červ.

Druhy malwaru

Druh	Jak se šíří	Co dělá
virus	připojí se k souboru, šíří se spuštěním	poškozuje, šíří se dál
červ (worm)	sám po síti přes zranitelnosti	rychle zamoří celou síť
trojský kůň	uživatel ho sám nainstaluje jako „užitečný“ program	otevře útočníkovi přístup, krade data
ransomware	phishing, zranitelné služby, ukradené přístupy	zašifruje data, chce výkupné, často i vydírá zveřejněním
spyware, keylogger	jako součást jiného programu	sleduje uživatele, krade hesla
rootkit	po získání vysokých oprávnění	skrývá přítomnost útočníka v systému
botnet	napadená zařízení (PC, kamery, routery)	útočník je ovládá na dálku: spam, útoky DDoS (zahlcení serveru)

Roztřiď: útočí se na člověka, nebo na zařízení programem?

Obrana ve vrstvách

Vícefaktorové ověření (MFA)Připomenutí: přihlášení vyžaduje aspoň dva různé druhy důkazu – něco, co znáš (heslo), máš (telefon, klíč) nebo čím jsi (otisk). Samotné vylákané heslo útočníkovi nestačí.Heslo + potvrzení bezpečnostním klíčem.

Lidé: pravidelné školení a cvičné phishingové kampaně; jasný postup, kam podezřelou zprávu nahlásit.

Procesy: platby a změny čísel účtů ověřovat druhým kanálem (telefonát na známé číslo); princip čtyř očí.

Přihlašování: vícefaktorové ověření, ideálně odolné proti phishingu (passkey, bezpečnostní klíč).

Zařízení: aktualizace systému a programů, antivir / EDR, běžná práce bez administrátorských práv.

E-mail: filtrování spamu a příloh, kontrola pravosti odesílající domény (technologie SPF, DKIM a DMARC).

Data: pravidelné zálohy oddělené od sítě, aby ransomware nezašifroval i je.

Firma dostane fakturu od „stálého dodavatele“ s poznámkou: „Změnili jsme banku, plaťte na nový účet.“ Jaký je to útok a jak se bránit?

Typický podvod se změnou bankovního účtu, varianta sociálního inženýrství (často z napadené schránky dodavatele). Obrana: změnu účtu ověřit telefonátem na číslo ze smlouvy, ne z e-mailu, a zavést pravidlo, že změny plateb schvalují dva lidé.

Ve firmě se ráno objeví na všech discích soubory s příponou .locked a textový soubor s pokyny k platbě v kryptoměně. Co se stalo a co dělat hned?

Útok ransomwaru. Hned: odpojit napadené počítače od sítě (nevypínat bez rozmyslu – v paměti mohou být stopy), informovat odpovědné osoby a postupovat podle plánu reakce na incident. Data obnovit ze záloh, které ransomware nezasáhl. Výkupné nezaručuje vrácení dat.

✗Virus a červ jsou totéž.

✓Virus potřebuje, aby člověk spustil napadený soubor. Červ se šíří sám po síti přes zranitelnosti.

Rozdíl mění obranu: proti červům pomáhají hlavně rychlé aktualizace a segmentace sítě, proti virům i opatrnost uživatelů.

Sociální inženýrství (phishing, smishing, vishing, spear phishing, pretexting) útočí na lidi, malware (virus, červ, trojský kůň, ransomware, spyware, rootkit, botnet) na zařízení. Obrana je ve vrstvách: školení, ověřování druhým kanálem, MFA, aktualizace, filtry a zálohy.

📜Certifikáty a TLS🧱Síťová bezpečnost: firewall, VPN, segmentace