Τι εξετάζεται σε ένα συνημμένο
- Antivirus: σύγκριση με γνωστά κακόβουλα προγράμματα. Αποτελεσματικό για ό,τι ήδη κυκλοφορεί, λιγότερο για ένα αρχείο φτιαγμένο για μία μόνο εκστρατεία.
- Μακροεντολές Office: ένα έγγραφο Word ή Excel που περιέχει κώδικα και ζητά να «ενεργοποιήσετε το περιεχόμενο» για να τον εκτελέσει. Είναι ένα παλιό σχήμα, που χρησιμοποιείται ακόμη.
- PDF: σενάρια εντολών, κρυμμένοι σύνδεσμοι, φόρμες που οδηγούν σε μια ψεύτικη σελίδα σύνδεσης.
- Αρχεία HTML: ένα συνημμένο που ανοίγει στο πρόγραμμα περιήγησης και μιμείται μια σελίδα σύνδεσης, χωρίς να περνά από έναν ιστότοπο που θα μπορούσε να μπλοκαριστεί.
- Εικόνες: ένας κωδικός QR που περιέχει έναν σύνδεσμο ή κείμενο κρυμμένο στην εικόνα για να ξεφύγει από την ανάλυση κειμένου.
Όταν ένα συνημμένο κρίνεται επικίνδυνο, δύο λύσεις είναι λογικές: αφαίρεση του συνημμένου και παράδοση του μηνύματος με μια επεξηγηματική σημείωση ή τοποθέτηση ολόκληρου του μηνύματος σε καραντίνα. Και στις δύο περιπτώσεις, το αρχείο δεν φτάνει στον σταθμό εργασίας.
Οι σύνδεσμοι: κατά την παράδοση και έπειτα κατά το κλικ
Ένας σύνδεσμος αναλύεται μέσα στο μήνυμα: φήμη της διεύθυνσης και του τομέα, ομοιότητα με ένα γνωστό εμπορικό σήμα, τομέας που δημιουργήθηκε πρόσφατα. Ο κωδικός QR θέτει ένα ιδιαίτερο πρόβλημα: μεταφέρει τον σύνδεσμο από τον προστατευμένο υπολογιστή στο προσωπικό κινητό, που συχνά είναι λιγότερο προστατευμένο. Η ανάγνωσή του μέσα στην εικόνα επαναφέρει αυτόν τον σύνδεσμο στον έλεγχο.
Όμως ένας σύνδεσμος ασφαλής στις 9 το πρωί μπορεί να έχει παγιδευτεί στις 2 το μεσημέρι. Οι απατεώνες στέλνουν πρώτα έναν σύνδεσμο προς μια αθώα σελίδα και αλλάζουν τη σελίδα μόλις παραδοθεί το μήνυμα. Γι’ αυτό υπάρχει η προστασία κατά το κλικ: ο σύνδεσμος ξαναγράφεται ώστε να περνά από έλεγχο τη στιγμή που ο χρήστης κάνει κλικ. Αν η σελίδα έχει γίνει επικίνδυνη, το κλικ σταματά, ακόμη κι αν το μήνυμα έχει παραδοθεί.
Η περίπτωση των συνδέσμων κοινοποίησης
Όλο και περισσότερα κακόβουλα μηνύματα δεν περιέχουν κανένα συνημμένο: παραπέμπουν σε ένα έγγραφο ανεβασμένο σε μια γνωστή υπηρεσία κοινοποίησης αρχείων. Ο τομέας του συνδέσμου έχει τότε άριστη φήμη, αφού είναι αυτός μιας μεγάλης υπηρεσίας. Η ανάλυση πρέπει να εστιάζει στα υπόλοιπα: είναι ο αποστολέας συνηθισμένος, μοιάζει το μήνυμα με εκστρατεία, ζητά η σελίδα που ανοίγει κωδικό πρόσβασης; Εκεί ο έλεγχος κατά το κλικ και η ανίχνευση ασυνήθιστων συμπεριφορών μετρούν περισσότερο από τη λίστα επικίνδυνων τομέων.
Ransomware: τι μπορεί να κάνει η πύλη και τι όχι
Το cybermalveillance.gouv.fr περιγράφει το ransomware ως μια επίθεση που μπλοκάρει την πρόσβαση σε ένα σύστημα ή κρυπτογραφεί τα δεδομένα και μερικές φορές απειλεί να τα δημοσιοποιήσει, ζητώντας λύτρα. Σημειώνει ότι η εισβολή γίνεται συνήθως μέσω μιας ευπάθειας ή μιας κακώς ασφαλισμένης απομακρυσμένης πρόσβασης ή μέσω της παραβίασης ενός λογαριασμού ή ενός μηχανήματος με phishing ή κακόβουλο πρόγραμμα.
Το ηλεκτρονικό ταχυδρομείο δεν είναι η μόνη είσοδος, αλλά η ANSSI το χαρακτηρίζει «κύριο φορέα μόλυνσης του σταθμού εργασίας». Ο ίδιος οργανισμός αναφέρει «την αποστολή κακόβουλων συνημμένων για την εκμετάλλευση ευπαθειών ενός σταθμού εργασίας με σκοπό τον εκβιασμό ή την κατασκοπία». Είναι επίσης μια είσοδος που μπορεί να φιλτραριστεί πριν φτάσει στο γραμματοκιβώτιο. Η τυπική εξέλιξη μέσω email:
- ένα μήνυμα με συνημμένο ή σύνδεσμο·
- μια μακροεντολή που ενεργοποιείται ή ένας κωδικός που πληκτρολογείται σε μια ψεύτικη σελίδα·
- πρόσβαση στο δίκτυο ή στους λογαριασμούς·
- αργότερα, κάποτε εβδομάδες μετά, η κρυπτογράφηση των αρχείων.
Παράδειγμα, ενδεικτικά. Ένας εργαζόμενος λαμβάνει ένα «ανεξόφλητο τιμολόγιο» σε μορφή Word. Το έγγραφο εμφανίζει μια θολή λωρίδα και ζητά να ενεργοποιηθεί το περιεχόμενο για να διαβαστεί. Αν το κάνει, η μακροεντολή κατεβάζει ένα πρόγραμμα που δίνει πρόσβαση στον σταθμό εργασίας. Τα αρχεία του διακομιστή θα κρυπτογραφηθούν μόνο αργότερα. Αν το συνημμένο αφαιρεθεί κατά την άφιξη, αυτή η αλυσίδα δεν ξεκινά· αν περάσει, όλα κρίνονται από το αντανάκλαστο να μην ενεργοποιηθεί η μακροεντολή και έπειτα από τα αντίγραφα ασφαλείας.
Η πύλη δρα στο πρώτο βήμα. Δεν βλέπει μια εισβολή μέσω απομακρυσμένης πρόσβασης ούτε έναν λογαριασμό που έχει ήδη ανοιχτεί με κωδικό που κλάπηκε αλλού. Δεν επαναφέρει τίποτα.
Το cybermalveillance.gouv.fr συνιστά τακτικά αντίγραφα ασφαλείας, αποσυνδεδεμένα αντίγραφα, επαληθευμένες επαναφορές και ενημερώσεις που εφαρμόζονται χωρίς καθυστέρηση. Συνιστά επίσης να μην πληρωθεί το λύτρο. Για τα αρχεία σας, το θέμα εξετάζεται στον οδηγό Προστασία ενός συστήματος διαχείρισης εγγράφων από ransomware και επαναφορά του.
Τι παραμένει ανθρώπινη ενέργεια
- Μην ενεργοποιείτε τις μακροεντολές ενός εγγράφου που λάβατε μέσω email, ακόμη κι αν το ζητά ευγενικά.
- Μην πληκτρολογείτε κωδικό πρόσβασης σε σελίδα που ανοίξατε από σύνδεσμο που λάβατε· χρησιμοποιήστε τη συνηθισμένη διεύθυνση ή έναν σελιδοδείκτη. Το cybermalveillance.gouv.fr συμβουλεύει επίσης να ελέγχετε τη διεύθυνση του ιστότοπου, όπου μπορεί να αλλάζει μόνο ένας χαρακτήρας.
- Μην σαρώνετε έναν κωδικό QR που λάβατε μέσω email για να «συνδεθείτε».
- Αναφέρετε ένα ύποπτο μήνυμα αντί να το διαγράφετε: η αναφορά βοηθά το φίλτρο και προειδοποιεί τους συναδέλφους.
- Μην απελευθερώνετε από την καραντίνα ένα μήνυμα που δεν περιμένατε, απλώς για να δείτε.
Τα όρια κάθε ανάλυσης
- Το αρχείο που κρυπτογραφεί ο αποστολέας: ένα συμπιεσμένο αρχείο προστατευμένο με κωδικό που δίνεται μέσα στο μήνυμα είναι αδιάβαστο για το φίλτρο. Είναι μια γνωστή τεχνική αποφυγής· αντιμετωπίζεται με κανόνα (καραντίνα, προειδοποίηση) και όχι με ανάλυση του περιεχομένου.
- Το αδημοσίευτο κακόβουλο έγγραφο, χωρίς γνωστή υπογραφή, μπορεί να περάσει το antivirus. Τα άλλα σήματα (αποστολέας, πλαίσιο, μακροεντολές) αναλαμβάνουν τότε, χωρίς εγγύηση.
- Ο νόμιμος παραβιασμένος λογαριασμός που στέλνει ένα πραγματικό, παγιδευμένο τιμολόγιο επωφελείται από την εμπιστοσύνη προς τον αποστολέα.
- Ο σύνδεσμος που παγιδεύεται εκ των υστέρων περνά αν κανείς δεν ξαναελέγχει τη στιγμή του κλικ.
- Το εσωτερικό μήνυμα που ανταλλάσσεται μεταξύ δύο γραμματοκιβωτίων του ίδιου συστήματος, χωρίς να βγει από αυτό, δεν περνά από μια πύλη τοποθετημένη μπροστά: το βλέπει το φίλτρο του συστήματος ηλεκτρονικού ταχυδρομείου ή κανείς.
Η καραντίνα υπάρχει για τις αμφίβολες περιπτώσεις: το μήνυμα ούτε παραδίδεται ούτε χάνεται. Δείτε Καραντίνα, ψευδώς θετικά και αναφορές.
Συχνές ερωτήσεις
Χάνεται ένα συνημμένο που αφαιρέθηκε;
Το μήνυμα φτάνει με μια σημείωση που εξηγεί την αφαίρεση. Αν το συνημμένο ήταν νόμιμο, ο διαχειριστής ή ο παραλήπτης περνά από την καραντίνα: δείτε Καραντίνα, ψευδώς θετικά και αναφορές.
Μπορεί ένα PDF να είναι πράγματι επικίνδυνο;
Ναι: μπορεί να περιέχει σενάρια εντολών ή να οδηγεί σε μια ψεύτικη σελίδα σύνδεσης. Γι’ αυτό ελέγχεται όπως ένα έγγραφο Office.
Γιατί ένας σύνδεσμος που ελέγχθηκε χθες μπλοκάρεται σήμερα;
Η σελίδα άλλαξε μετά την παράδοση. Η προστασία κατά το κλικ κρίνει τη σελίδα τη στιγμή που την ανοίγετε.
Αρκεί μια πύλη απέναντι στο ransomware;
Όχι. Μειώνει την είσοδο μέσω ηλεκτρονικού ταχυδρομείου. Οι ενημερώσεις, οι απομακρυσμένες προσβάσεις και τα αντίγραφα ασφαλείας κάνουν τα υπόλοιπα. Δείτε Προστασία ενός συστήματος διαχείρισης εγγράφων από ransomware και επαναφορά του.
Πού τοποθετείται η Klytic
Η κατανομή του Klytic MTA στα δύο πακέτα του, όπως έχει δημοσιευτεί:
| Ανάλυση | Essential | Advanced |
|---|
| Antivirus και κρυπτογραφημένη καραντίνα | Ναι | Ναι |
| Παγιδευμένες μακροεντολές Office και PDF | Ναι | Ναι |
| Anti-phishing, πλαστοπροσωπία εμπορικού σήματος, κωδικοί QR | Ναι | Ναι |
| Αφαίρεση επικίνδυνων συνημμένων, με ενημερωτικό μήνυμα | Ναι | Ναι |
| Ασφαλής απελευθέρωση από την καραντίνα και ειδοποιήσεις | Ναι | Ναι |
| Παγιδευμένα αρχεία HTML και κρυμμένο κείμενο στις εικόνες | Όχι | Ναι |
| Σύνδεσμοι που αναλύονται ξανά τη στιγμή του κλικ | Όχι | Ναι |
Το Klytic MTA λειτουργεί μπροστά από οποιοδήποτε σύστημα ηλεκτρονικού ταχυδρομείου, χωρίς Klytic Mail. Δεν αντικαθιστά τα αντίγραφα ασφαλείας των αρχείων και των γραμματοκιβωτίων σας: στην Klytic, αυτά είναι τα αντίγραφα ασφαλείας των ίδιων των υπηρεσιών, που περιγράφονται στη σελίδα ασφάλεια και αντίγραφα ασφαλείας.
Πηγές
Η ανάγνωση έγινε τον Οκτώβριο του 2026.
- Cybermalveillance.gouv.fr, «Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?»: ορισμός, τρόποι εισβολής (ευπάθειες, απομακρυσμένες προσβάσεις, phishing, κακόβουλο πρόγραμμα), αποσυνδεδεμένα και δοκιμασμένα αντίγραφα ασφαλείας, ενημερώσεις, μη πληρωμή λύτρων. cybermalveillance.gouv.fr
- Cybermalveillance.gouv.fr, «Que faire en cas de phishing ou hameçonnage ?»: έλεγχος της διεύθυνσης ενός συνδέσμου και του ιστότοπου πριν από την εισαγωγή στοιχείων. cybermalveillance.gouv.fr
- Klytic, σελίδα Klytic MTA: αναλύσεις συνημμένων και συνδέσμων στα πακέτα Essential και Advanced, προαιρετικές επιλογές, τρόποι ανάπτυξης, ενεργοποίηση μέσω του MX. klytic.com
- ANSSI, «Guide d’hygiène informatique», έκδοση 2.0, Σεπτέμβριος 2017, μέτρο 24 «Protéger sa messagerie professionnelle»: «La messagerie est le principal vecteur d’infection du poste de travail». messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, πλαίσιο μέτρων, μέτρο «Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage»: «Les systèmes de messagerie sont un des principaux vecteurs d’attaques puisque très largement utilisés et exposés sur internet». monservicesecurise.cyber.gouv.fr
- ANSSI, «Recommandations relatives à l’interconnexion d’un système d’information à Internet», ANSSI-PA-066, έκδοση 3.0, 19 Ιουνίου 2020, κεφάλαιο 5 «Sécurisation du service de messagerie électronique»: το ηλεκτρονικό ταχυδρομείο «έχει γίνει ένας από τους κύριους φορείς επιθέσεων» (phishing, κακόβουλα συνημμένα)· § 5.2.3, μηχανισμοί antispam και ανίχνευσης κακόβουλου περιεχομένου «πρέπει να εφαρμόζονται». messervices.cyber.gouv.fr
