Kontrakt na Upwork już podpisany, a potem przychodzi PowerPoint.exe: malware po etapie, w którym freelancer traci czujność

Kontrakt jest aktywny, milestone sfinansowany, klient odpowiada normalnie. Po kilku wiadomościach wysyła materiały: „brand guidelines”, „presentation brief”, „assets”. W paczce leży PowerPoint.exe. To właśnie ten moment jest groźniejszy niż podejrzana oferta od świeżego konta. Freelancer ma już za sobą negocjacje, zaakceptował warunki i psychologicznie przeniósł klienta z kategorii „obcy z internetu” do kategorii „człowiek, dla którego pracuję”.

Tyle że podpisany kontrakt potwierdza relację handlową. Nie potwierdza bezpieczeństwa pliku.

Jeżeli zleceniodawca przesyła program wykonywalny pod nazwą kojarzącą się z dokumentem, problem nie polega na tym, czy plik „wygląda wiarygodnie”. Problem jest prostszy: freelancer jest proszony o uruchomienie obcego kodu na komputerze, na którym często ma jednocześnie pocztę, Upwork, GitHub, Google Drive, panel banku, menedżer haseł, klucze SSH i projekty innych klientów.

Podpisany kontrakt może być częścią socjotechniki, a nie dowodem zaufania

Na Upwork granica „przed kontraktem” i „po kontrakcie” ma realne znaczenie. Przed rozpoczęciem kontraktu platforma ogranicza wymianę danych kontaktowych i wymaga prowadzenia komunikacji w Upwork. Po rozpoczęciu kontraktu strony mogą wymienić dane kontaktowe i korzystać z własnych narzędzi komunikacji.

To wygodne przy prawdziwej współpracy. Dla atakującego również.

Schemat może wyglądać zupełnie zwyczajnie:

• publikacja sensownie opisanego zlecenia,

• kilka konkretnych pytań podczas rozmowy,

• oferta z normalną stawką zamiast absurdalnie wysokiego wynagrodzenia,

• podpisanie kontraktu,

• dopiero później wysłanie archiwum ZIP lub RAR, repozytorium albo „narzędzia potrzebnego do projektu”,

• prośba o uruchomienie pliku lokalnie.

Ten ostatni punkt zmienia wszystko.

Klient może napisać, że plik jest „wewnętrznym viewerem”, „eksporterem PowerPoint”, „generatorem raportu”, „buildem aplikacji”, „narzędziem do odszyfrowania materiałów” albo po prostu częścią starego systemu firmy. Sam fakt, że takie oprogramowanie istnieje w prawdziwych projektach, ułatwia atak.

Czerwone światło powinno zapalić się natychmiast, gdy klient prosi dodatkowo o:

• wyłączenie Microsoft Defendera lub innego antywirusa,

• kliknięcie „Uruchom mimo to” po ostrzeżeniu SmartScreen,

• uruchomienie programu jako administrator,

• wyłączenie Smart App Control,

• dodanie folderu do wyjątków antywirusa,

• odblokowanie makr w pliku pobranym z Internetu,

• uruchomienie skryptu .ps1, .vbs, .js, .bat lub .cmd,

• wklejenie polecenia do PowerShella albo terminala,

• instalację AnyDesk, RustDesk, TeamViewer lub innego narzędzia zdalnego dostępu bez jasnego uzasadnienia,

• otwarcie zaszyfrowanego archiwum, do którego hasło przesłano osobno „bo antywirus usuwa plik”.

Ostatni przypadek jest szczególnie charakterystyczny. Hasło do ZIP-a bywa normalnym sposobem ochrony poufnych danych, ale jednocześnie utrudnia automatyczne skanowanie załącznika przed pobraniem. Jeżeli po rozpakowaniu pojawia się program wykonywalny, skrypt albo skrót .lnk, sam fakt podpisania kontraktu nie jest argumentem za jego uruchomieniem.

W prawdziwej pracy programistycznej sytuacja jest bardziej złożona. Freelancer rzeczywiście może dostać repozytorium Node.js, aplikację .NET, skrypty instalacyjne czy kontenery Dockera i musi je uruchomić. Tu nie działa zasada „nigdy niczego nie wykonuj”. Działa inna: nie uruchamiaj niezweryfikowanego projektu nieznanego klienta na swoim podstawowym komputerze roboczym.

Jeżeli kod musi zostać wykonany, pierwszym wyborem powinno być odizolowane środowisko: osobna maszyna wirtualna, Windows Sandbox tam, gdzie jest dostępny, odseparowane konto testowe albo dedykowany komputer bez zalogowanych usług i kluczy produkcyjnych. Dopiero później można myśleć o wygodzie.

PowerPoint.exe nie jest prezentacją. Rozszerzenie ma większe znaczenie niż ikona

Najbardziej praktyczna zasada jest banalna: patrz na ostatnie rozszerzenie pliku.

Typowa prezentacja PowerPoint ma rozszerzenie .pptx. Prezentacja obsługująca makra VBA korzysta z .pptm. Natomiast .exe oznacza program wykonywalny Windows.

Plik:

Oferta_Q3.pptx.exe

nie jest prezentacją PowerPoint. Jest plikiem wykonywalnym.

Co gorsza, jeżeli system ukrywa rozszerzenia znanych typów plików, użytkownik może zobaczyć nazwę sugerującą dokument. Dlatego na komputerze wykorzystywanym do pracy z materiałami od klientów wyświetlanie rozszerzeń powinno być włączone na stałe. W Windows 11 można zrobić to w Eksploratorze plików przez Widok → Pokaż → Rozszerzenia nazw plików.

Sam plik PowerPoint.exe też powinien wzbudzić podejrzenie. W klasycznej instalacji Microsoft 365 właściwy program PowerPoint działa pod nazwą POWERPNT.EXE, zwykle z katalogu:

C:\Program Files\Microsoft Office\root\Office16\POWERPNT.EXE

albo, przy 32-bitowym Office zainstalowanym na 64-bitowym Windows:

C:\Program Files (x86)\Microsoft Office\root\Office16\POWERPNT.EXE

Nie ma racjonalnego powodu, aby klient wysyłał freelancerowi kopię programu o nazwie PowerPoint.exe tylko po to, żeby ten przeczytał prezentację.

Nie tylko .exe wymaga ostrożności. Do typów mogących uruchamiać kod należą między innymi:

• .exe i .com,

• .bat i .cmd,

• .vbs i .js,

• .ps1,

• .scr,

• .lnk.

Skrót .lnk jest szczególnie zdradliwy, ponieważ może wyglądać jak dokument lub folder, a w rzeczywistości uruchamiać inny program z parametrami.

Office ma dziś więcej zabezpieczeń niż kilka lat temu. Pliki pochodzące z Internetu mogą otrzymać w Windows oznaczenie Mark of the Web (MOTW). Microsoft 365 domyślnie blokuje makra VBA w dokumentach pochodzących z Internetu. Dlatego instrukcja klienta typu „wejdź we właściwości pliku, zaznacz Odblokuj, bo inaczej prezentacja nie działa” nie jest niewinną poradą techniczną. Usunięcie MOTW może świadomie zdjąć jedną z warstw ochrony.

Podobnie działa SmartScreen. System sprawdza między innymi reputację pliku oraz wydawcy. Ostrzeżenie „Windows protected your PC” nie oznacza automatycznie, że program jest malware, ale nie jest też irytującym oknem, które należy mechanicznie ominąć. Nowy i nieznany plik może nie mieć wyrobionej reputacji. Z punktu widzenia freelancera oznacza to jedno: brak reputacji nie daje podstawy do uruchomienia programu tylko dlatego, że klient nalega.

Przed otwarciem nietypowego pliku stosuję prostą kolejność:

1. Sprawdzam pełną nazwę i rozszerzenie.

2. Nie uruchamiam pliku z poziomu archiwum ZIP/RAR.

3. Sprawdzam podpis cyfrowy programu i nazwę wydawcy, jeżeli podpis istnieje.

4. Wyliczam hash SHA-256, np. w PowerShellu poleceniem Get-FileHash .\PowerPoint.exe -Algorithm SHA256.

5. Sprawdzam hash w serwisach threat intelligence, zanim wyślę sam plik.

6. Uruchamiam lokalne skanowanie Microsoft Defenderem lub używanym rozwiązaniem EDR.

7. Jeżeli projekt rzeczywiście wymaga wykonania obcego kodu, przenoszę go do środowiska izolowanego.

Jest tu ważny haczyk. Upwork sam rekomenduje skanowanie podejrzanych plików między innymi przy użyciu VirusTotal, ale publiczne przesyłanie pliku klienta do takiego serwisu nie zawsze jest dobrym pomysłem. Standardowa usługa VirusTotal dzieli wyniki i próbki z partnerami zajmującymi się bezpieczeństwem. Jeżeli plik zawiera kod objęty NDA, dane osobowe, nieopublikowane materiały marketingowe albo inne informacje poufne, najpierw należy sprawdzić hash. Prywatne skanowanie jest osobną usługą.

I jeszcze jedno: wynik „0 wykryć” nie jest certyfikatem bezpieczeństwa. Nowa próbka malware może nie być jeszcze znana silnikom antywirusowym. Antywirus obniża ryzyko. Nie przejmuje odpowiedzialności za decyzję o uruchomieniu obcego kodu.

Plik został uruchomiony. Najpierw ogranicz skutki, dopiero potem szukaj nazwy malware

Po dwukrotnym kliknięciu podejrzanego .exe największym błędem jest dalsza normalna praca na komputerze.

Nie zaczynałbym od wpisywania w Google nazwy pliku. Nie logowałbym się też do Upwork, poczty czy banku, żeby „sprawdzić, czy wszystko działa”. Jeżeli uruchomiony został infostealer albo RAT, każde kolejne logowanie może dostarczać napastnikowi następnych danych.

Priorytet numer jeden to ograniczenie komunikacji z zainfekowanego urządzenia. Odłącz Wi-Fi i kabel Ethernet. Jeżeli komputer jest firmowy albo podlega zarządzaniu IT, zgłoś incydent administratorowi lub zespołowi bezpieczeństwa przed kasowaniem plików, reinstalacją systemu i innymi działaniami niszczącymi materiał do analizy.

Następnie użyj innego, zaufanego urządzenia.

Kolejność zmiany dostępu ma znaczenie:

1. główna skrzynka e-mail,

2. menedżer haseł,

3. konto Upwork,

4. GitHub, GitLab lub Bitbucket,

5. Google Workspace lub Microsoft 365,

6. panele chmurowe AWS, Azure, Google Cloud, Cloudflare i podobne,

7. systemy płatnicze i bankowe,

8. pozostałe konta związane z pracą.

Sama zmiana hasła nie wystarcza, jeśli malware ukradło cookie sesyjne, token OAuth albo aktywną sesję przeglądarki. Trzeba również zakończyć istniejące sesje i odwołać tokeny.

Programista powinien potraktować jako potencjalnie ujawnione także:

• klucze SSH,

• personal access tokens z GitHuba i GitLaba,

• tokeny npm,

• klucze API zapisane w .env,

• poświadczenia AWS/Azure/GCP,

• certyfikaty VPN,

• klucze prywatne używane do podpisywania kodu,

• dane portfeli kryptowalutowych obecne na komputerze.

Te dane należy rotować, a nie tylko obserwować.

Dopiero później jest czas na analizę komputera. Zachowaj nazwę pliku, jego SHA-256, godzinę pobrania i uruchomienia, adres, z którego został pobrany, korespondencję z klientem oraz zrzuty komunikatów Windows. Nie kasuj od razu wiadomości ani kontraktu. To materiał przydatny Upworkowi, CERT Polska, administratorowi systemu, a w poważniejszej sprawie również organom ścigania.

Podejrzanego klienta należy zgłosić w Upwork. Platforma monitoruje wiadomości pod kątem oszustw i prób dystrybucji malware, ale jej mechanizmy nie dają gwarancji wykrycia każdego pliku — zwłaszcza jeżeli komunikacja po rozpoczęciu kontraktu została przeniesiona do zewnętrznego komunikatora lub poczty.

W Polsce incydent można zgłosić również do CERT Polska / CSIRT NASK. Przy realnym przejęciu konta, wycieku danych albo infekcji komputera wykorzystywanego zawodowo takie zgłoszenie ma więcej sensu niż wrzucenie ostrzeżenia na forum i zamknięcie tematu.

Jeżeli na urządzeniu znajdowały się dane osobowe klientów, pojawia się jeszcze obowiązek prawny. Administrator danych musi ocenić, czy doszło do naruszenia ochrony danych osobowych. Gdy naruszenie wiąże się z ryzykiem dla praw lub wolności osób fizycznych, RODO przewiduje zgłoszenie do organu nadzorczego bez zbędnej zwłoki i — w miarę możliwości — nie później niż 72 godziny od stwierdzenia naruszenia. Freelancer działający jako podmiot przetwarzający powinien natomiast poinformować administratora bez zbędnej zwłoki. Infekcji laptopa z bazą klientów nie można więc sprowadzić do „przeskanowałem Defenderem i już jest dobrze”.

Przy podejrzeniu infostealera albo zdalnego dostępu czysty wynik późniejszego skanowania również nie zamyka sprawy. Dane mogły zostać wykradzione w pierwszych sekundach lub minutach po uruchomieniu programu. W urządzeniu, na którym znajdowały się wartościowe poświadczenia, ponowna instalacja systemu z zaufanego źródła jest często rozsądniejszą granicą bezpieczeństwa niż kolejne pięć skanerów. Minusem jest czas potrzebny na odbudowę środowiska pracy. Plusem — nie opierasz dalszej działalności na założeniu, że antywirus znalazł wszystko.

FAQ

Czy aktywny kontrakt i zweryfikowana metoda płatności klienta oznaczają, że załącznik jest bezpieczny?
Nie. Są to informacje związane z kontem i rozliczeniem, a nie kryptograficzna weryfikacja pliku. Każdy wykonywalny załącznik nadal należy traktować jako obcy kod.

Czy zwykły plik .pptx może zawierać makro VBA?
Format .pptx nie służy do przechowywania makr VBA. Prezentacje PowerPoint z makrami używają między innymi rozszerzenia .pptm. Nie oznacza to jednak, że dowolny .pptx jest absolutnie bezpieczny — pozostają błędy w aplikacjach, osadzone obiekty czy zewnętrzne odnośniki.

Czy wystarczy, że Microsoft Defender niczego nie wykryje?
Nie. Brak detekcji oznacza tylko, że używany mechanizm nie rozpoznał w tym momencie pliku jako zagrożenia. Nowe, zmodyfikowane lub celowane malware może przejść pierwsze skanowanie.

Czy można bezpiecznie wysłać każdy plik klienta do VirusTotal?
Nie. Przy poufnym kodzie, NDA lub danych osobowych publiczne przesłanie próbki może być niedopuszczalne. Najpierw sprawdź SHA-256; pełny plik wysyłaj tylko wtedy, gdy jego charakter i zasady poufności na to pozwalają albo korzystasz z rozwiązania zapewniającego prywatność analizy.

Czy po przypadkowym uruchomieniu malware wystarczy zmienić hasło do Upwork?
Nie. Infostealer może przejąć pocztę, zapisane hasła, cookies sesyjne, tokeny GitHuba, klucze SSH i dane usług chmurowych. Hasła i tokeny należy zmieniać lub odwoływać z czystego urządzenia, zaczynając od poczty i menedżera haseł.

Czy podejrzany komputer trzeba natychmiast sformatować?
Nie zawsze jako pierwszy krok. Najpierw odizoluj urządzenie, zabezpiecz konta i zachowaj informacje potrzebne do analizy. Jeżeli komputer należy do firmy, skontaktuj się z IT lub zespołem bezpieczeństwa przed usuwaniem śladów. Przy prawdopodobnym RAT lub infostealerze czysta reinstalacja systemu po zabezpieczeniu dowodów jest jednak znacznie mocniejszą decyzją niż założenie, że jedno skanowanie usunęło problem.

Pierwszy błąd do usunięcia jest prosty: przestań traktować moment podpisania kontraktu jako moment, od którego pliki klienta stają się zaufane. Włącz wyświetlanie rozszerzeń i przyjmij twardą zasadę: plik .exe, skrypt albo nieznany projekt od nowego klienta nie jest uruchamiany na podstawowym komputerze roboczym. Jeżeli wykonanie kodu jest rzeczywiście częścią zlecenia, pierwszym krokiem powinno być środowisko izolowane, a nie kliknięcie „Uruchom mimo to”.

Więcej informacji na: https://itux.pl