Varför är e-postbilagor farliga?

En e-postbilaga är en fil som skickas med ett e-postmeddelande — som en gåva som kommer med ett kort. Nästan vilken typ av fil som helst kan bifogas till ett e-postmeddelande; oftast är den enda begränsningen hur stor en fil är eller hur många filer en e-postklient är villig att ta emot. Men precis som med vilken fil som helst som skickas över ett nätverk kan e-postbilagor ibland innehålla farligt eller skadligt innehåll som kan infektera en enhet med skadlig programvara.

Angripare försöker ofta sprida skadlig programvara genom att bifoga den till e-postmeddelanden. Ibland bifogar de skadlig programvara som en körbar (EXE) fil och försöker lura mottagaren att ladda ner och öppna filen, vilket kör skadlig programvara. Andra gånger kan de gömma ett skadligt skript i en oskyldigt verkande fil, som en Microsoft Word-dokument (DOC, DOCX) eller en arkivfil (ZIP, RAR, etc.). När skriptet körs, laddar det ner och installerar skadlig programvara, eller utför någon annan skadlig handling. Slutligen kan angripare förklä skadlig programvara eller skript i filtyper som verkar osannolika att innehålla dem, som bilder eller videofiler.

Tänk dig en e-postbilaga som en inslagen present och e-postmeddelandet den är bifogad till som ett kort som följer med. Den som tar emot presenten kan inte veta vad som finns i den förrän den öppnas. På samma sätt är det omöjligt att vara säker på vad en e-postbilaga faktiskt innehåller. Tyvärr betyder detta att alla e-postbilagor måste betraktas med misstänksamhet, även om det medföljande e-postmeddelandet — ”kortet” i analogin — verkar komma från en pålitlig person.

Vilka e-postbilagor är generellt säkra att öppna?

Som med alla aspekter av säkerhet finns det inget sätt att garantera att en given fil är säker. Men att besvara följande frågor kan hjälpa till att avgöra om en e-postbilaga bör litas på. Om svaret på någon av dem är ”nej”, är det klokt för användarna att kontakta den påstådda avsändaren — eller kontakta sin organisations säkerhetsteam.

• Känner du igen avsändaren? E-postbilagor från en känd källa är mer benägna att vara pålitliga än e-postbilagor från en okänd källa.
• Kan du bekräfta att avsändaren faktiskt skickade e-posten? Ibland kan skadliga parter försöka efterlikna en känd och betrodd avsändare, även någon i mottagarens kontaktlista eller organisation. Detta kan göras genom att förfalska avsändarens e-postadress eller genom att bryta sig in i avsändarens inkorg och skicka e-posten i deras namn.
• Förväntade du dig e-posten? Oväntade e-postmeddelanden är ofta en indikator på ett försök till attack. De flesta skadliga e-postmeddelanden förväntas inte — ingen vill bli hackad, trots allt.
• Förväntade du dig att e-posten skulle ha en bilaga? Även om själva e-postmeddelandet förväntas, kan en oväntad eller irrelevant bilaga vara skadlig.
• Är bilagan en förväntad filtyp? Om avsändaren säger att de har bifogat eller kommer att bifoga en bild, men filen som tas emot är en PDF eller en EXE, kan detta vara en indikation på att filen inte bör litas på.

Om alla dessa frågor kan besvaras med ja, är det mer troligt, men fortfarande inte garanterat, att e-postbilagan är säker.

När är e-postbilagor inte säkra att öppna?

Frågorna i föregående avsnitt är en bra utgångspunkt för att identifiera potentiellt farliga bilagor. Ytterligare indikatorer på att ett meddelande kan vara osäkert att öppna inkluderar följande:

• Brådska: Angripare vill att de som tar emot deras e-postmeddelanden agerar snabbt, innan de har tid att ifrågasätta eller undersöka vidare. E-postmeddelandet kan kräva att mottagaren snabbt laddar ner eller öppnar bilagan.
• E-postmeddelandet skickas till en stor grupp eller okända mottagare: Angripare kastar ibland ut så brett nät som möjligt för att öka chansen att någon kommer att ladda ner den skadliga bilagan. De gör detta genom att skicka det skadliga e-postmeddelandet till långa listor med mottagare eller stora e-postalias. De kan försöka dölja hur många personer e-postmeddelandet skickas till genom att använda BCC och lämna fältet ”Till” blankt.
• Ovanligt skrivsätt i e-postmeddelandet: Stavfel och grammatikfel är ett vanligt tecken på att ett e-postmeddelande kan vara från en bedragare. Men ibland struntar även legitima avsändare i dessa konventioner. Mottagare bör jämföra e-postmeddelandet med avsändarens vanliga skrivsätt. Dessutom, om e-postmeddelandet handlar om ämnen som avsändaren vanligtvis inte berör, kan e-postmeddelandet faktiskt inte vara från den påstådda avsändaren.
• Brist på personlig hälsning: Angripare har inte alltid tid att rikta sig mot sina offer en i taget. En generisk hälsning, eller en saknad hälsning, kan vara en indikation på att e-postmeddelandet inte är legitimt. (Detta är inte alltid fallet — särskilt vid målinriktade attacker som spear phishing och företagsbedrägerier, kan hot via e-post vara mycket riktade och personliga.)
• Den bifogade filen innehåller skadlig programvara: Många e-postleverantörer kommer att identifiera möjlig skadlig programvara med hjälp av anti-malware-analys och markera farliga bilagor — en tydlig indikation på att e-postmeddelandet inte bör öppnas.

Vilka typer av e-postbilagor kan innehålla skadlig programvara?

Vilken typ av fil som helst kan innehålla skadlig kod. Arkivfiler, PDF-filer, Microsoft Word-dokument och Microsoft Excel-kalkylblad har använts i många malware-attacker. Men angripare är inte begränsade till dessa filtyper. Allt från bilder till textfiler kan vara farligt.

En av de mest uppenbart farliga filtyperna är den körbara filen. Körbara filer är programinstruktioner som en dator utför när filerna öppnas. Det är sällan som en legitim avsändare bifogar körbar kod i ett e-postmeddelande — vanligtvis skickas en programvara på något annat sätt. Körbara filer har en filändelse som är EXE (på Windows) eller APP (på Mac).

Vad är en filändelse?

En filändelse är texten som följer efter punkten (eller punkten) i slutet av ett filnamn. Till exempel, i filnamnet ”kviche-recept.doc”, är filändelsen .doc eller DOC. Filändelser indikerar filtypen — en DOC-filändelse indikerar att detta är ett Microsoft Word-dokument.

Filändelser kan förfalskas eller förfalskas. Att identifiera filändelsen är inte ett tillförlitligt sätt att avgöra om en fil är säker eller inte.

Andra vanliga filändelser att känna till inkluderar, men är inte begränsade till:

• Microsoft Word: .doc, .docx (DOC, DOCX)
• Microsoft Excel: .xls, .xlsx (XLS, XLSX)
• Adobe Acrobat PDF: .pdf (PDF)
• Körbara filer: .exe, .app (EXE, APP)
• Arkivfiler: .zip, .rar, .iso (ZIP, RAR, ISO)
• Bildfiler: .jpeg, .png, .gif (JPEG, PNG, GIF)
• Ljudfiler: .mp3, .wav (MP3, WAV)
• Webbfiler: .html, .css, .js (HTML, CSS, JavaScript)
• Ren textfiler: .txt (TXT)

Hur bäddar angripare in makron, skript och annat farligt innehåll i vanliga filer?

Office-filer

Ett makro är ett exekverbart skript som används inom Microsoft Office-filer som Word och Excel. Även om makron har många legitima användningsområden har de också använts i attacker. Om en e-postbilaga ber mottagaren att aktivera makron kan den vara skadlig.

PDF-filer

Angripare kan bädda in skadlig JavaScript i PDF-filer, tillsammans med länkar till farliga webbplatser eller molnbaserade filer som kontrolleras av angripare.

Arkivfiler

En arkivfil är ett filformat för att lagra en eller flera filer i en omgivning, tillsammans med metadata om filerna. Arkivfiler är ofta komprimerade för att göra dem mer portabla. En arkivfil är bara en omgivning för fil(er) inuti — vad som helst kan finnas inuti. Detta gör dem bekväma för angripare, som kan dölja en skadlig fil i en arkivfil och sedan lura en användare att ladda ner filen och öppna dess innehåll.

Andra filer

Osäkra skript och länkar kan inkluderas i nästan vilken typ av fil som helst — antingen direkt i filen eller gömd i dess metadata. Dessutom kan angripare förfalska en filändelse så att en skadlig fil verkar vara en bild, en ljudfil, en videofil, en TXT-fil eller någon annan typ av fil som en användare är mer benägen att lita på.

Vilka är några av ransomware-attackerna som har använt e-postbilagor?

Många ransomware-attacker under åren har kommit in i en organisation eller nått offrets dator genom en e-postbilaga. Exempel inkluderar:

• Petya-ransomware spreds ofta via e-post till HR-avdelningar med falska jobbansökningar bifogade som PDF-filer.
• I början spreds Maze-ransomware till sina offer via skadliga e-postbilagor. (Denna metod kan fortfarande användas, men Maze sprids också via sårbarhetsutnyttjanden för RDP och andra attackvektorer.)
• REvil-ransomware-gruppen har observerats använda skadliga e-postbilagor för att sprida ransomware.
• Vissa ransomware-attacker använder inte e-postbilagor direkt, men istället åker de med på tidigare attacker som ägde rum med hjälp av e-postbilagor. Ryuk-ransomware kommer oftast in i en organisation genom en TrickBot-infektion, som i sin tur ofta sprids via Emotet-botnätet. (Sådana flerlagerattacker är vanliga och visar på de olika åtgärderna som är tillgängliga för en angripare när de väl har fått fotfäste i en organisations nätverk.) Emotet har mestadels spridits med hjälp av skadliga Word-dokument som bifogats e-postmeddelanden.

Vilka andra attacker använder e-postbilagor?

Vilket skript eller skadlig programvara som helst kan gömmas i en e-postbilaga, vilket sedan möjliggör för angripare att få åtkomst till nätverk, stjäla konfidentiell data och utföra andra skadliga handlingar. När e-postbilagan har öppnats av sin mottagare kan den användas för att sprida spionprogram, reklamprogram, maskar eller till och med botnät.