Skadlig kod - Skydda dig mot virus, trojaner & ransomware

Vad den skadliga programvaran faktiskt gör

Det är sällan ett enskilt program som gör allt. Ofta börjar det med en liten öppning: en bilaga som körs, en falsk uppdatering som installeras eller en app från fel källa. Därefter kan angriparen lägga till en nyttolast, alltså den del som stjäl data, krypterar filer eller öppnar en bakdörr.

Jag brukar se tre huvudsakliga mål. Det första är att få åtkomst till konton, filer eller en hel enhet. Det andra är att hålla sig kvar, alltså skapa persistens så att programmet överlever omstart och inte försvinner vid första felsökningen. Det tredje är att sprida sig vidare i nätet, eller att använda den infekterade enheten som språngbräda mot andra mål. I praktiken är det alltså inte bara "ett virus", utan en kedja av tekniker som gör angreppet svårare att stoppa.

Den viktigaste insikten är att skadlig programvara nästan alltid kombinerar teknik med manipulation. Angriparen vill få dig att göra något litet och snabbt, och det är just där många misstag uppstår. Därför är det klokt att titta på hur infektionen faktiskt kommer in i första ledet.

Så sprids den via mejl, appar och falska uppdateringar

Den första barriären är nästan alltid mänsklig. Angriparen vill att du ska öppna en bilaga, klicka på en länk eller installera något som verkar brådskande och legitimt. När det lyckas blir resten av angreppet betydligt enklare.

• Mejlbilagor är fortfarande en klassiker. Ett dokument eller en fil kan se normalt ut, men innehålla kod som startar när du öppnar den.
• Falska uppdateringar spelar på att många vill klicka bort störande meddelanden snabbt. I stället för att uppdatera något legitimt installerar du en trojan eller annan skadlig komponent.
• Appar från tredjepartskällor är en vanlig risk på mobiler. Det handlar inte om att telefonen i sig är osäker, utan om att du kringgår den kontroll som den officiella appbutiken ger.
• Skadliga webbplatser och annonser kan lura dig att ladda ner program eller ge bort inloggningsuppgifter. Det ser ofta ut som ett vanligt supportmeddelande eller en legitim nedladdning.
• Trojaner används ofta som transport. De ser ut som något ofarligt, men öppnar i själva verket en dörr för fler komponenter.

Poängen är enkel: de flesta infektioner börjar inte med avancerad hacking, utan med ett förtroende som utnyttjas. När den första länken i kedjan sitter, är nästa steg nästan alltid att pressa dig vidare genom stress, nyfikenhet eller rädsla.

Så används den i bedrägerier

I bedrägerier är målet sällan bara att "förstöra" något. Det handlar oftare om pengar, inloggningsuppgifter eller åtkomst till fler konton. När jag granskar verkliga incidenter ser jag ofta samma mönster: först ett falskt meddelande, sedan en infektion och därefter ett försök att tömma värde ur den drabbade miljön.

En vanlig metod är att locka offret till en sida där lösenord, kortuppgifter eller e-legitimation lämnas ut. En annan är att få den drabbade att installera fjärrstyrningsprogram, vilket gör att angriparen kan agera som om han eller hon satt framför datorn själv. Polisen beskriver också ransomware som programvara som låser enheter och krypterar filer för att pressa fram betalning. Det gör den särskilt farlig för både privatpersoner och företag, eftersom den kombinerar tekniskt sabotage med ren utpressning.

Det som ofta förvånar är att angreppet inte alltid märks direkt. I vissa fall används en infekterad enhet för att samla in data i bakgrunden, i andra för att skicka vidare bedrägliga mejl till kontakter. Ju längre angriparen får vara kvar, desto större blir skadan. Därför är det bra att skilja mellan de vanligaste typerna och vad de faktiskt gör.

De vanligaste typerna och hur de skiljer sig

Alla angrepp beter sig inte på samma sätt. När man väl ser skillnaderna blir det mycket lättare att förstå varför vissa infektioner märks direkt medan andra ligger dolda länge.

Det här är inte bara akademiska etiketter. När du vet vilken typ av angrepp du står inför blir det lättare att avgöra om du ska stänga av, isolera, återställa eller polisanmäla direkt. Nästa steg är därför att bygga ett skydd som faktiskt fungerar i vardagen.

Så minskar du risken i vardagen

MSB:s praktiska råd är fortfarande de mest robusta: uppdatera system och appar, använd antivirus, klicka inte på okända länkar och håll en säkerhetskopia som inte ligger inkopplad hela tiden. Det låter enkelt, men just de åtgärderna tar bort många av de vanligaste angreppsytorna.

• Håll allt uppdaterat - operativsystem, webbläsare, kontorsprogram, telefon och appar. Sårbarheter utnyttjas ofta innan användaren ens märker att något är fel.
• Installera bara från betrodda källor - särskilt på mobiler och surfplattor. Ju fler tredjepartsappar, desto större risk att något smyger sig in.
• Använd multifaktorautentisering - alltså att du behöver mer än ett lösenord för att logga in. Det gör kapade lösenord betydligt mindre värda.
• Ha unika lösenord för mejl, bank, sociala medier och arbetskonton. En lösenordshanterare gör det lättare att hålla ordning.
• Förvara säkerhetskopior separat - gärna en kopia som inte är ansluten hela tiden. Då blir den mycket svårare att kryptera vid ett angrepp.
• Var extra misstänksam mot stress - meddelanden som kräver snabba klick, hotar med avstängning eller ber dig lämna uppgifter direkt.

Jag brukar säga att skyddet blir starkt först när du kombinerar flera lager. Ett antivirusprogram räddar inte en dålig rutin, och en säkerhetskopia hjälper inte om den aldrig testas. Det leder oss till den situation som de flesta helst vill undvika, men som ändå måste vara planerad i förväg.

Om du misstänker att något redan har hänt

Om du tror att en enhet redan är infekterad gäller det att agera snabbt men metodiskt. Det viktigaste är inte att "städa snyggt", utan att begränsa skadan och bevara det som går att använda senare.

1. Koppla bort enheten från nätet direkt. Stäng av Wi-Fi och dra ur kabeln om det behövs.
2. Använd inte den drabbade enheten för att logga in på andra konton. Byt lösenord från en ren dator eller mobil i stället.
3. Spara bevis som skärmdumpar, mejl, filnamn och tidpunkter. Ju snabbare du dokumenterar, desto bättre spår finns kvar.
4. Kontrollera om backup finns innan du gör något radikalt. En dåligt planerad återställning kan annars skriva över användbar information.
5. Återställ från en verifierad säkerhetskopia efter att du är säker på att systemet är rent. Testa gärna återställningen i förväg om det är möjligt.
6. Betala inte lösensumma om du drabbats av utpressning. Det finns ingen garanti för att filerna kommer tillbaka, och du riskerar bara att finansiera nästa angrepp.

För företag och organisationer gäller samma principer, men med fler konton, fler system och större krav på dokumentation. Då blir det särskilt viktigt att isolera angripna delar, byta administrativa lösenord och kontrollera om fler enheter har påverkats. Ju mindre tid angriparen får, desto mindre blir ofta den slutliga skadan.

Det som brukar avgöra om ett angrepp stannar eller växer

Det finns en enkel skillnad mellan de miljöer som klarar ett angrepp väl och de som fastnar i långvariga problem: de som har övat på återställning. Många tänker på säkerhet som något som ska stoppa allt, men i praktiken handlar det lika mycket om att kunna återhämta sig snabbt när något ändå går fel.

• Se till att säkerhetskopiorna verkligen går att återläsa, inte bara att de finns.
• Ha multifaktorautentisering på de konton som betyder mest.
• Behandla oväntade länkar, bilagor och appar som misstänkta tills de är kontrollerade.

Om du bara tar med dig tre saker från texten, låt det vara detta: håll systemen uppdaterade, använd multifaktorautentisering och se till att säkerhetskopiorna verkligen går att återläsa. Då blir nästa försök till intrång betydligt mindre farligt, även om en länk eller bilaga råkar slinka igenom.