Meno dostal podľa starovekého príbehu o dobytí Tróje. Grécki vojaci sa ukryli v drevenom koni, ktorý Trójania považovali za dar a sami ho dostali za hradby. Počítačový trójsky kôň, často označovaný aj anglickým slovom trojan, funguje na podobnom princípe: škodlivý kód sa snaží dostať do zariadenia pod zámienkou niečoho dôveryhodného alebo pomocou iného mechanizmu doručenia.
Môže vyzerať ako bežný program, aktualizácia, dokument, príloha e-mailu, hra či mobilná aplikácia. Po spustení môže kradnúť heslá, sledovať používateľa, otvoriť útočníkovi vzdialený prístup alebo do zariadenia stiahnuť ďalší škodlivý softvér. Základný princíp a jednotlivé druhy trójskych koní približuje aj ESET vo svojom prehľade.
Dôležitý rozdiel oproti niektorým iným hrozbám je, že trójsky kôň sa sám nereplikuje. Nemusí ho však vždy ručne nainštalovať používateľ. Do zariadenia ho môže dostať aj iný malvér alebo útok využívajúci bezpečnostnú zraniteľnosť.
Trójsky kôň nie je vírus
Slová vírus, malvér a trójsky kôň sa v bežnej reči často používajú ako synonymá. Z technického hľadiska však neznamenajú to isté.
Malvér je všeobecné pomenovanie škodlivého softvéru. Patria sem vírusy, červy, trójske kone, ransomvér, spyware, rôzne nástroje na krádež údajov a ďalšie hrozby.
Počítačový vírus vytvára svoje kópie tým, že infikuje ďalšie súbory alebo programy. Červ sa dokáže šíriť medzi zariadeniami alebo po sieti bez toho, aby potreboval hostiteľský súbor.
Trójsky kôň sa sám nereplikuje. Jeho silnou stránkou býva maskovanie, sociálne inžinierstvo alebo využitie iného mechanizmu, ktorý ho dostane do cieľového systému.
Preto je zaužívané spojenie „trójsky vírus“ síce zrozumiteľné, ale technicky nepresné.
Ako sa trójsky kôň dostane do počítača alebo telefónu
Klasickým spôsobom je sociálne inžinierstvo. Útočník nemusí prelomiť zabezpečenie počítača, ak používateľa presvedčí, aby nebezpečný súbor spustil sám.
Častou návnadou býva falošná aktualizácia programu, príloha faktúry alebo objednávky, dokument údajne od kuriéra či banky, bezplatná hra, generátor aktivačných kľúčov, crack alebo pirátska verzia plateného softvéru.
Nebezpečný pritom nemusí byť iba súbor priložený priamo k e-mailu. Phishing môže používateľa presmerovať na stránku, ktorá ho presvedčí, aby si nainštaloval program, rozšírenie prehliadača alebo údajnú bezpečnostnú aktualizáciu.
Ďalšou cestou sú škodlivé alebo podvodné aplikácie. Riziko je vyššie pri inštalovaní programov z neznámych zdrojov, hoci ani oficiálny obchod s aplikáciami nedokáže zaručiť, že sa v ňom nikdy neobjaví škodlivý softvér.
Trójsky kôň sa môže dostať do systému aj bez toho, aby používateľ vedome otvoril podozrivú prílohu. Môže ho stiahnuť už prítomný malvér alebo môže byť súčasťou útoku, ktorý zneužije nezaplátanú zraniteľnosť operačného systému, prehliadača či iného programu.
Práve preto sú dôležité pravidelné bezpečnostné aktualizácie aj pre používateľa, ktorý je pri e-mailoch a sťahovaní súborov opatrný.
Čo dokáže trójsky kôň urobiť
Neexistuje jedno univerzálne delenie trójskych koní. Jednotlivé názvy môžu opisovať spôsob doručenia, techniku použitú pri útoku alebo výslednú funkciu malvéru. Rovnaký škodlivý program preto môže patriť do viacerých kategórií naraz.
Downloader a dropper
Downloader má za úlohu stiahnuť do zariadenia ďalší škodlivý softvér. Prvý súbor, ktorý sa dostane do počítača, preto nemusí obsahovať všetky funkcie celého útoku.
Dropper naopak prenáša ďalší škodlivý obsah priamo v sebe a po spustení ho uloží alebo nainštaluje do systému.
Oba prístupy umožňujú rozdeliť útok na viac etáp. Program, ktorý používateľ otvorí ako prvý, preto nemusí byť ten istý, ktorý neskôr kradne heslá alebo vykonáva inú škodlivú činnosť.
Backdoor a RAT
Backdoor vytvorí v napadnutom systéme zadné vrátka, cez ktoré môže útočník vykonávať ďalšie operácie.
Súvisiaci pojem RAT sa používa pri softvéri umožňujúcom vzdialený prístup. Skratka môže podľa kontextu označovať Remote Access Trojan alebo Remote Administration Tool.
Samotná funkcia vzdialenej správy nemusí byť škodlivá. Legitímne nástroje ju využívajú napríklad pri technickej podpore. Problém nastáva vtedy, keď útočník získa takýto prístup bez vedomia a súhlasu majiteľa zariadenia.
Podľa možností konkrétneho malvéru potom môže spúšťať príkazy, manipulovať so súbormi, získavať informácie zo systému alebo doň pridávať ďalšie komponenty.
Keylogger, spyware a password stealer
Jedným z najcennejších cieľov sú prihlasovacie údaje.
Keylogger zaznamenáva stlačené klávesy. Pokročilejší spyware môže zachytávať aj obsah obrazovky, informácie z prehliadača alebo ďalšie údaje uložené v zariadení.
Takzvané password stealery alebo information stealery sa špecializujú na krádež hesiel, cookies, prihlasovacích relácií a ďalších údajov, pomocou ktorých môže útočník prevziať internetový účet aj bez znalosti nového hesla.
Preto po vážnej infekcii nemusí stačiť iba odstránenie samotného škodlivého súboru. Ak už útočník získal prihlasovacie údaje alebo aktívnu reláciu, treba zabezpečiť aj dotknuté účty.
Bankový trójsky kôň
Bankové trójske kone sa zameriavajú na finančné údaje a prístupy k bankovým službám.
Môžu napríklad zachytávať prihlasovacie údaje, manipulovať s obsahom zobrazovaným v prehliadači alebo sa v telefóne vydávať za prihlasovaciu obrazovku legitímnej aplikácie. Niektoré mobilné hrozby zneužívajú aj rozsiahle systémové oprávnenia.
Ak sa spolu s podozrením na malvér objavia neznáme bankové operácie, treba okrem vyčistenia zariadenia čo najskôr kontaktovať banku.
Botnet, DDoS a ťažba kryptomien
Napadnuté zariadenie nemusí slúžiť iba na útok proti svojmu majiteľovi. Útočník ho môže zapojiť do botnetu, teda siete kompromitovaných počítačov, telefónov, routerov alebo ďalších zariadení.
Takáto sieť sa dá využiť napríklad na distribuované DDoS útoky, rozosielanie škodlivého obsahu alebo iné aktivity. Malvér môže zároveň bez súhlasu používateľa spotrebúvať výkon zariadenia na výpočty vrátane ťažby kryptomien.
Packer nie je samostatná funkcia trójskeho koňa
Pri analýze malvéru sa používa aj pojem packer. Ten však nehovorí, čo škodlivý program robí používateľovi.
Packer zabalí alebo upraví spustiteľný súbor tak, aby bolo jeho vnútro ťažšie analyzovateľné. Podobné techniky môžu používať aj legitímne programy, pri malvéri však môžu sťažiť jeho detekciu a analýzu.
Ako spoznať trójskeho koňa
Najťažšie je, že napadnuté zariadenie nemusí vykazovať žiadny nápadný príznak. Dobre navrhnutý malvér sa naopak snaží zostať čo najdlhšie neviditeľný.
Podozrivé môže byť náhle a nevysvetliteľné spomalenie zariadenia, vysoké vyťaženie procesora, výrazne kratšia výdrž batérie alebo nezvyčajne vysoká spotreba dát.
Varovaním sú aj programy a rozšírenia, ktoré si používateľ nepamätá, zmenená domovská stránka prehliadača, nečakané presmerovania, množstvo vyskakovacích okien alebo bezpečnostné funkcie, ktoré sa bez vysvetlenia vypli.
Ešte vážnejším signálom môže byť aktivita mimo samotného zariadenia: upozornenie na prihlásenie z neznámeho miesta, neočakávané kódy dvojfaktorového overenia, správy odoslané bez vedomia majiteľa alebo neznáme finančné operácie.
Jeden z týchto javov sám osebe infekciu nedokazuje. Spomalený počítač môže mať problém s diskom, batériou či obyčajnou aplikáciou. Ak sa však objaví viac podozrivých javov naraz, kontrola zariadenia je namieste.
Vo Windowse môže pomôcť Správca úloh, na Macu Monitor aktivity. Samotný neznámy názov procesu však nie je dôkazom malvéru a náhodné ukončovanie systémových procesov môže spôsobiť ďalšie problémy.
Čo robiť, keď máte podozrenie na trójskeho koňa
- Pri vážnom podozrení zariadenie dočasne odpojte od siete. Vypnutie Wi-Fi, mobilných dát alebo odpojenie ethernetového kábla môže obmedziť komunikáciu malvéru s útočníkom a ďalšiu sieťovú aktivitu. Samo osebe však infekciu neodstráni.
- Na podozrivom zariadení sa neprihlasujte do citlivých účtov. Ak existuje riziko krádeže hesiel, prihlasovacie údaje meňte radšej z iného, dôveryhodného zariadenia.
- Aktualizujte bezpečnostný softvér a vykonajte úplnú kontrolu systému. Použiť môžete vstavanú ochranu operačného systému alebo dôveryhodný bezpečnostný program.
- Nájdený malvér odstráňte alebo umiestnite do karantény. Po odstránení vykonajte ďalšiu kontrolu. Opakovaná detekcia môže znamenať, že v systéme zostal ďalší komponent.
- Po vyčistení zabezpečte svoje účty. Z čistého zariadenia zmeňte heslá k dôležitým službám, skontrolujte prihlásené zariadenia a aktívne relácie a zapnite viacfaktorové overenie alebo passkey.
- Pri možnom úniku finančných údajov kontaktujte banku. Ak malvér získal údaje platobnej karty alebo prístup k internetbankingu, samotná zmena hesla nemusí stačiť.
- Ak sa infekcia vracia, zvážte obnovenie alebo čistú inštaláciu systému. Pri vážne kompromitovanom zariadení môže byť najistejším riešením obnovenie továrenských nastavení alebo preinštalovanie operačného systému a následné obnovenie dát z dôveryhodnej zálohy.
Ako odstrániť trójsky kôň z Windowsu
Windows obsahuje vlastnú antivírusovú a bezpečnostnú ochranu Microsoft Defender.
Pri podozrení na infekciu má zmysel skontrolovať aktualizácie bezpečnostných definícií a následne spustiť úplnú kontrolu zariadenia.
Ak sa rovnaká hrozba neustále vracia alebo existuje podozrenie na malvér, ktorý sa počas normálneho behu systému skrýva, Windows ponúka aj Microsoft Defender Offline. Kontrola sa vykoná po reštarte mimo bežného prostredia Windowsu, čo môže sťažiť škodlivému softvéru možnosť skrývať sa alebo zasahovať do skenovania.
Dôležitou súčasťou ochrany sú aj bezpečnostné aktualizácie Windowsu. Ak používate nepodporovanú verziu systému alebo programu, známe chyby už nemusia dostávať opravy.
Ak malvér urobil v systéme rozsiahle alebo nevratné zmeny, môže byť potrebné obnovenie alebo čisté preinštalovanie Windowsu.
Ako je pred trójskymi koňmi chránený Mac
Tvrdenie, že Mac nemôže dostať malvér, je mýtus. macOS však obsahuje viacero vstavaných vrstiev ochrany.
Gatekeeper kontroluje aplikácie stiahnuté z internetu a spolu s notarizáciou od Apple pomáha obmedziť spúšťanie nedôveryhodného alebo známeho škodlivého softvéru.
XProtect je vstavaná technológia macOS na rozpoznávanie a blokovanie malvéru. Bezpečnostné údaje a pravidlá môže Apple aktualizovať aj nezávisle od veľkých aktualizácií celého systému.
Pri podozrení na infekciu preto patrí medzi základné opatrenia aktualizácia macOS, odstránenie neznámych aplikácií a rozšírení a kontrola programov, ktoré sa automaticky spúšťajú alebo majú udelené citlivé oprávnenia.
Trójske kone na Androide
Android je pre útočníkov zaujímavý okrem iného preto, že aplikácie môžu pracovať s množstvom citlivých údajov a systémových oprávnení.
Google Play Protect kontroluje aplikácie a môže upozorniť na potenciálne škodlivý program alebo proti nemu zasiahnuť. Najväčšiu opatrnosť si vyžadujú aplikácie inštalované z neznámych zdrojov a programy, ktoré žiadajú oprávnenia nezodpovedajúce tomu, na čo majú slúžiť.
Ak napríklad jednoduchá hra, prehrávač alebo nástroj požaduje bez zjavného dôvodu prístup k SMS správam, upozorneniam, funkciám zjednodušenia ovládania alebo ďalším citlivým častiam systému, je namieste zvýšená pozornosť.
Google zároveň priebežne pridáva do Androidu ďalšie bezpečnostné funkcie, ktoré majú pomôcť odhaľovať alebo obmedzovať rôzne druhy útokov.
Ak chcete pridať ďalšiu vrstvu ochrany, pozrieť si môžete aj naše porovnanie, ktorý antivírus pre Android stojí za zváženie.
A čo iPhone a iPad?
Aj pri iPhone a iPade je najdôležitejšie udržiavať operačný systém aktuálny, dávať pozor na podozrivé odkazy a neinštalovať neznámy softvér alebo konfiguračné profily.
Pri podozrení na kompromitáciu je vhodné skontrolovať nainštalované aplikácie, zariadenia pripojené k Apple účtu a neznáme konfiguračné profily. Ak existuje podozrenie, že niekto získal prihlasovacie údaje k účtu, heslo treba zmeniť z dôveryhodného zariadenia a skontrolovať nastavenie viacfaktorového overenia.
Pomáha pravidelné reštartovanie telefónu?
Pravidelné vypnutie a opätovné zapnutie telefónu môže byť užitočným bezpečnostným návykom, ale nie je náhradou za aktualizácie ani spoľahlivým spôsobom odstránenia malvéru.
Reštart môže prerušiť fungovanie niektorých útokov alebo škodlivého kódu, ktorý zostáva iba v operačnej pamäti. Ak si však malvér vytvoril spôsob, ako sa po zapnutí zariadenia znovu spustiť, obyčajný reštart ho neodstráni.
Pre dlhodobú ochranu sú preto podstatnejšie pravidelné bezpečnostné aktualizácie, rozumné narábanie s aplikáciami a reakcia na bezpečnostné upozornenia systému.
Ako sa pred trójskym koňom chrániť
Najlepšia ochrana nevzniká jedným programom, ale kombináciou viacerých bezpečnostných vrstiev.
Operačný systém, prehliadač a aplikácie pravidelne aktualizujte. Ideálne je ponechať zapnuté automatické bezpečnostné aktualizácie. Čím dlhšie zostáva známa zraniteľnosť nezaplátaná, tým viac času majú útočníci na jej zneužitie.
Programy sťahujte z dôveryhodných zdrojov. Obzvlášť rizikové sú pirátske programy, cracky, generátory aktivačných kľúčov a falošné aktualizácie.
Nevypínajte bezpečnostnú ochranu iba preto, aby sa podarilo spustiť neznámy program. Presvedčenie používateľa, aby sám obišiel ochranu systému, môže byť súčasťou útoku.
Pre každý dôležitý účet používajte unikátne heslo. Ak útočník získa jedno heslo, nemal by sa pomocou neho automaticky dostať aj do e-mailu, sociálnych sietí či ďalších služieb.
Zapnite viacfaktorové overenie alebo passkey. Ukradnuté heslo potom nemusí útočníkovi stačiť na prihlásenie.
Dôležité dáta pravidelne zálohujte. Ideálne je mať aj verziu zálohy, ktorú malvér nemôže jednoducho prepísať spolu s originálom. Obyčajná synchronizácia priečinka totiž nie je vždy to isté ako plnohodnotná záloha. Pri cloudových službách sa oplatí rozumieť aj tomu, ako funguje zálohovanie fotiek a jeho nastavenia.
A napokon, pri prílohách, odkazoch a aplikáciách pomáha jednoduchá otázka: Očakával som tento súbor a viem, odkiaľ pochádza? Ani správa od známeho človeka nemusí byť automaticky bezpečná, pretože odosielateľov účet mohol byť napadnutý.
Potrebujete samostatný antivírus?
Moderné operačné systémy už obsahujú vlastné bezpečnostné mechanizmy. Windows má Microsoft Defender, macOS využíva okrem iného XProtect a Gatekeeper a Android používa Google Play Protect.
Bezpečnostné balíky tretích strán môžu ponúknuť ďalšie vrstvy ochrany alebo doplnkové funkcie. Pri ich výbere je rozumnejšie pozerať na výsledky nezávislých testov než iba na marketingové tvrdenia výrobcu.
Medzi známe organizácie testujúce bezpečnostný softvér patria napríklad AV-Comparatives a AV-TEST. Dôležitá nie je iba schopnosť zachytiť malvér, ale aj počet falošných poplachov a vplyv programu na výkon zariadenia.
Pri telefónoch sme tejto téme venovali samostatné porovnanie: ktorý antivírus pre Android je najlepší a čo pri výbere sledovať.
Odkiaľ pochádza názov trójsky kôň
Pojem je oveľa starší než dnešný internet. Názov vychádza zo starogréckeho príbehu o drevenom koni, pomocou ktorého sa grécke vojsko dostalo za hradby Tróje.
V počítačovej terminológii sa výraz Trojan horse objavoval už v prvých desaťročiach modernej informatiky. Ranú zmienku obsahuje napríklad prvý manuál Unixu z roku 1971 a pojem sa objavuje aj v bezpečnostných materiáloch zo 70. rokov.
Do širšieho povedomia ho dostala aj prednáška počítačového vedca Kena Thompsona Reflections on Trusting Trust. Ukázala zásadný problém počítačovej bezpečnosti: ani program, ktorému používateľ dôveruje, nemusí nevyhnutne robiť iba to, čo navonok sľubuje.
Známe trójske kone: AIDS Trojan, Zeus a DoubleLocker
Jedným z prvých notoricky známych príkladov bol AIDS Trojan z roku 1989, ktorý patrí zároveň medzi prvé známe ransomvérové útoky zachytené v reálnom prostredí.
K obetiam sa dostával na disketách vydávajúcich sa za informačný program o AIDS. Po určitom počte spustení systému zneprístupnil názvy súborov a požadoval od používateľa platbu.
Veľký vplyv mal neskôr bankový malvér Zeus, ktorý sa objavil v roku 2007. Zameriaval sa na prihlasovacie a finančné údaje a jeho kód či odvodené verzie ovplyvnili množstvo ďalších škodlivých programov.
Mobilnú podobu problému ukázal DoubleLocker pre Android. Vydával sa za aktualizáciu Adobe Flash Playera, zneužíval funkcie zjednodušenia ovládania a kombinoval uzamknutie telefónu so zašifrovaním dát.
Technológie sa odvtedy výrazne zmenili, základný princíp však zostáva podobný: útočník sa snaží dostať škodlivý kód za obrannú líniu tým, že využije dôveru používateľa, bezpečnostnú chybu alebo už existujúci prístup do systému.
Časté otázky o trójskych koňoch
Môže trójsky kôň napadnúť telefón?
Áno. Škodlivé aplikácie označované ako trójske kone sa vyskytujú aj na mobilných zariadeniach. Riziko sa netýka iba počítačov s Windowsom.
Dokáže sa trójsky kôň šíriť cez Wi-Fi?
Samotný trójsky kôň sa podľa svojej definície nereplikuje ako červ. Napadnuté zariadenie však môže stiahnuť ďalší malvér alebo útočník môže po získaní prístupu skúsiť napadnúť ďalšie zariadenia v sieti. Preto môže byť pri vážnom podozrení vhodné kompromitované zariadenie dočasne od siete izolovať.
Odstráni trójskeho koňa obnovenie výrobných nastavení?
Čisté obnovenie alebo preinštalovanie zariadenia odstráni veľkú časť bežného škodlivého softvéru, zároveň však vymaže používateľské dáta a nastavenia. Preto ide skôr o riešenie pri vážnej alebo opakovanej infekcii.
Obnovenie zariadenia zároveň nevráti späť údaje, ktoré už útočník ukradol. Po infekcii preto treba podľa okolností zabezpečiť aj heslá, internetové účty či bankové služby.
Stačí trójskeho koňa jednoducho zmazať?
Niekedy môže byť odstránenie konkrétneho súboru dostatočné, nemožno sa však na to spoliehať. Trojan mohol vytvoriť ďalšie súbory, stiahnuť iný malvér alebo ukradnúť údaje ešte pred svojím odstránením.
Po detekcii má preto nasledovať kontrola celého systému a podľa povahy útoku aj zabezpečenie používateľských účtov.
Ako zistím, či je počítač už čistý?
Jedna úspešná antivírusová kontrola je dobrým znamením, nie absolútnou zárukou. Ak sa rovnaká detekcia vracia, bezpečnostné funkcie sa opakovane vypínajú alebo zostávajú nevysvetliteľné problémy, je vhodná dôkladnejšia offline kontrola alebo čistá reinštalácia systému.
Najdôležitejšie je útočníka nepustiť dnu
Trójsky kôň nie je jeden konkrétny program ani jedna presne definovaná technika útoku. Spoločným znakom je najmä to, že sa škodlivý kód dostane do systému bez toho, aby sa sám replikoval spôsobom typickým pre vírus alebo červa.
Najúčinnejšia ochrana preto stojí na kombinácii aktualizovaného systému, dôveryhodných zdrojov softvéru, bezpečnostnej ochrany zariadenia, viacfaktorového overenia a pravidelného zálohovania.
A ak príloha, program alebo údajná aktualizácia vyzerá naliehavo a zároveň neočakávane, je často bezpečnejšie najskôr overiť jej pôvod a až potom ju otvoriť.
