Hvad der undersøges i en vedhæftet fil
- Antivirus: sammenligning med kendte skadelige programmer. Effektivt over for det, der allerede cirkulerer, mindre over for en fil, der er lavet til en enkelt kampagne.
- Office-makroer: et Word- eller Excel-dokument, der indeholder kode og beder om at »aktivere indhold« for at køre den. Det er et gammelt mønster, der stadig bruges.
- PDF: scripts, skjulte links, formularer, der fører til en falsk loginside.
- HTML-filer: en vedhæftet fil, der åbnes i browseren og efterligner en loginside uden at gå via et websted, man kunne blokere.
- Billeder: en QR-kode, der indeholder et link, eller tekst skjult i billedet for at undgå tekstanalysen.
Når en vedhæftet fil vurderes som farlig, er der to rimelige udfald: fjern den vedhæftede fil, og lever e-mailen med en forklarende tekst, eller sæt hele e-mailen i karantæne. I begge tilfælde når filen ikke frem til arbejdsstationen.
Links: ved levering og derefter ved klik
Et link analyseres i e-mailen: adressens og domænets omdømme, lighed med et kendt varemærke, nyoprettet domæne. QR-koden giver et særligt problem: den flytter linket fra den beskyttede computer til den personlige telefon, der ofte er mindre beskyttet. Når koden aflæses i billedet, kommer linket tilbage under kontrol.
Men et link, der er harmløst kl. 9, kan være manipuleret kl. 14. Svindlere sender først et link til en uskadelig side og ændrer siden, når e-mailen er leveret. Det er grunden til beskyttelsen ved klik: linket omskrives, så det går gennem en kontrol i det øjeblik, brugeren klikker. Er siden blevet farlig, stoppes klikket, selv om e-mailen er leveret.
Delingslinks
Flere og flere skadelige e-mails indeholder ingen vedhæftet fil: de henviser til et dokument, der er lagt på en kendt fildelingstjeneste. Linkets domæne har så et fremragende omdømme, da det tilhører en stor tjeneste. Analysen må rette sig mod resten: er afsenderen en sædvanlig afsender, ligner e-mailen en kampagne, beder den åbnede side om en adgangskode? Det er her, kontrollen ved klik og registreringen af usædvanlig adfærd tæller mere end listen over farlige domæner.
Ransomware: hvad gatewayen kan, og hvad den ikke kan
Cybermalveillance.gouv.fr beskriver ransomware som et angreb, der spærrer adgangen til et system eller krypterer data og undertiden truer med at offentliggøre dem mod en løsesum. Tjenesten bemærker, at indtrængen normalt sker via en sårbarhed eller en dårligt sikret fjernadgang eller via kompromittering af en konto eller en maskine gennem phishing eller et skadeligt program.
E-mail er ikke den eneste indgang, men ANSSI betegner den som »den vigtigste infektionsvej til arbejdsstationen«. Samme myndighed nævner »afsendelse af skadelige vedhæftede filer for at udnytte sårbarheder i en arbejdsstation med henblik på afpresning eller spionage«. Det er også en indgang, som kan filtreres, før den når postkassen. Det typiske forløb via e-mail:
- en e-mail med en vedhæftet fil eller et link;
- en makro, der aktiveres, eller en adgangskode, der indtastes på en falsk side;
- adgang til netværket eller kontiene;
- senere, undertiden uger efter, kryptering af filerne.
Et eksempel til illustration. En medarbejder modtager en »ubetalt faktura« i Word-format. Dokumentet viser et sløret banner og beder om at aktivere indholdet for at læse det. Gør medarbejderen det, henter makroen et program, der giver adgang til arbejdsstationen. Filerne på serveren krypteres først senere. Fjernes den vedhæftede fil ved ankomsten, begynder denne kæde ikke; slipper den igennem, afhænger alt af refleksen om ikke at aktivere makroen og derefter af backuppen.
Gatewayen virker på første trin. Den ser ikke en indtrængen via fjernadgang eller en konto, der allerede er åbnet med en adgangskode stjålet andetsteds. Den gendanner intet.
Cybermalveillance.gouv.fr anbefaler regelmæssige backups, frakoblede kopier, kontrollerede gendannelser og opdateringer, der installeres straks. Tjenesten anbefaler også ikke at betale løsesummen. For jeres filer behandles spørgsmålet i Beskyt dokumentstyringen mod ransomware, og gendan den.
Hvad der fortsat er en menneskelig handling
- Aktivér ikke makroer i et dokument modtaget pr. e-mail, heller ikke selv om det høfligt beder om det.
- Indtast ikke en adgangskode på en side, der er åbnet fra et modtaget link; brug den sædvanlige adresse eller et bogmærke. Cybermalveillance.gouv.fr råder også til at kontrollere webstedets adresse, hvor et enkelt tegn kan være ændret.
- Scan ikke en QR-kode, der er modtaget pr. e-mail, for at »logge ind«.
- Indberet en tvivlsom e-mail i stedet for at slette den: indberetningen hjælper filteret og advarer kollegerne.
- Frigiv ikke en e-mail, som man ikke ventede, fra karantænen bare for at se.
Begrænsningerne ved enhver analyse
- Filen, der er krypteret af afsenderen: et arkiv beskyttet med en adgangskode, der står i e-mailen, kan filteret ikke læse. Det er en kendt omgåelsesteknik; den håndteres med en regel (karantæne, advarsel) frem for med analyse af indholdet.
- Det nye skadelige dokument uden kendt signatur kan slippe forbi antivirus. De øvrige signaler (afsender, kontekst, makroer) tager så over, uden garanti.
- Den kompromitterede legitime konto, der sender en rigtig, men manipuleret faktura, nyder godt af tilliden til afsenderen.
- Linket, der manipuleres bagefter, slipper igennem, hvis ingen kontrollerer igen ved klik.
- Den interne e-mail mellem to postkasser i samme e-mailsystem, som ikke forlader det, går ikke gennem en gateway foran: det er e-mailsystemets filter, der ser den, eller ingen.
Karantænen findes til de tvivlsomme tilfælde: e-mailen er hverken leveret eller tabt. Se Karantæne, falske positiver og indberetninger.
Ofte stillede spørgsmål
Er en fjernet vedhæftet fil tabt?
E-mailen ankommer med en tekst, der forklarer fjernelsen. Var den vedhæftede fil legitim, går administratoren eller modtageren via karantænen: se Karantæne, falske positiver og indberetninger.
Kan en PDF virkelig være farlig?
Ja: den kan indeholde scripts eller føre til en falsk loginside. Derfor inspiceres den ligesom et Office-dokument.
Hvorfor er et link, der blev kontrolleret i går, blokeret i dag?
Siden er ændret siden leveringen. Beskyttelsen ved klik vurderer siden i det øjeblik, I åbner den.
Er en gateway nok mod ransomware?
Nej. Den begrænser indgangen via e-mail. Opdateringer, fjernadgange og backup klarer resten. Se Beskyt dokumentstyringen mod ransomware, og gendan den.
Hvor Klytic står
Fordelingen i Klytic MTA mellem de to abonnementer, som den er offentliggjort:
| Analyse | Essential | Advanced |
|---|
| Antivirus og krypteret karantæne | Ja | Ja |
| Skadelige Office-makroer og PDF-filer | Ja | Ja |
| Anti-phishing, misbrug af varemærker, QR-koder | Ja | Ja |
| Farlige vedhæftede filer fjernes med en orienterende meddelelse | Ja | Ja |
| Sikker frigivelse fra karantænen og notifikationer | Ja | Ja |
| Skadelige HTML-filer og skjult tekst i billeder | Nej | Ja |
| Links analyseret igen ved klik | Nej | Ja |
Klytic MTA fungerer foran ethvert e-mailsystem uden Klytic Mail. Den erstatter ikke backuppen af jeres filer og postkasser: hos Klytic er det selve tjenesternes backups, beskrevet på siden sikkerhed og backup.
Kilder
Gennemgået i oktober 2026.
- Cybermalveillance.gouv.fr, »Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?«: definition, indtrængningsmåder (sårbarheder, fjernadgange, phishing, skadeligt program), frakoblede og testede backups, opdateringer, betal ikke. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, »Que faire en cas de phishing ou hameçonnage ?«: kontrollér adressen på et link og på webstedet, før der indtastes oplysninger. cybermalveillance.gouv.fr
- Klytic, siden Klytic MTA: analyser af vedhæftede filer og links i abonnementerne Essential og Advanced, tilvalg, driftsformer, idriftsættelse via MX. klytic.com
- ANSSI, »Guide d’hygiène informatique«, version 2.0, september 2017, foranstaltning 24 »Beskyt den professionelle e-mail«: »E-mail er den vigtigste infektionsvej til arbejdsstationen«. messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, katalog over sikkerhedsforanstaltninger, foranstaltningen »Indfør en løsning mod spam og phishing«: »E-mailsystemer er en af de vigtigste angrebsveje, da de er meget udbredte og eksponeret på internettet«. monservicesecurise.cyber.gouv.fr
- ANSSI, »Recommandations relatives à l’interconnexion d’un système d’information à Internet«, ANSSI-PA-066, version 3.0, 19. juni 2020, kapitel 5 »Sikring af e-mailtjenesten«: e-mail »er blevet en af de vigtigste veje for it-angreb« (phishing, skadelige vedhæftede filer); afsnit 5.2.3, mekanismer mod spam og til søgning efter skadeligt indhold »skal indføres«. messervices.cyber.gouv.fr
