Tak. Wirus i inne rodzaje złośliwego oprogramowania mogą działać bez dostępu do internetu, jeśli kod potrzebny do wykonania szkodliwych operacji znajduje się już na komputerze. Malware może między innymi modyfikować lub usuwać pliki, rejestrować określone informacje, szyfrować dane, uruchamiać się wraz z systemem i infekować podłączane nośniki. Internet jest potrzebny przede wszystkim tym zagrożeniom, które muszą komunikować się ze zdalną infrastrukturą.
Odłączenie komputera od sieci nadal może być bardzo dobrym działaniem po wykryciu podejrzanej aktywności. Ogranicza możliwość komunikacji z serwerem kontrolowanym przez atakującego oraz przesyłania danych poza urządzenie. Nie oznacza jednak usunięcia malware. Jeśli szkodliwy program znajduje się już na dysku i może wykonywać swój kod lokalnie, utrata połączenia z internetem nie powoduje automatycznie jego zatrzymania.
Dlaczego wirus nie zawsze potrzebuje połączenia z internetem?
Program uruchomiony na komputerze może wykonywać wiele operacji lokalnie. Nie potrzebuje internetu, aby otworzyć plik znajdujący się na dysku, zmienić jego zawartość, utworzyć nowy proces czy zmodyfikować dostępne dla niego ustawienia. Malware podlega tej samej podstawowej zasadzie. Jeżeli posiada odpowiednie uprawnienia i został uruchomiony, część zaprogramowanych działań może wykonywać niezależnie od stanu połączenia sieciowego.
Internet jest dla szkodliwego oprogramowania kanałem komunikacji, a nie uniwersalnym warunkiem działania. Można porównać go do telefonu używanego przez włamywacza. Utrata telefonu uniemożliwia kontakt ze wspólnikiem, ale nie sprawia, że osoba znajdująca się już wewnątrz budynku przestaje mieć dostęp do pomieszczeń. Podobnie malware może stracić łączność ze swoją infrastrukturą, zachowując możliwość wykonywania operacji lokalnych.
Co wirus może zrobić na komputerze bez internetu?
Zakres działań zależy od rodzaju złośliwego oprogramowania, jego konstrukcji, uprawnień oraz zabezpieczeń systemu. Nie każde zagrożenie wykonuje te same operacje. Niektóre próbują przede wszystkim kraść informacje i przesyłać je do atakującego. Inne są projektowane z myślą o niszczeniu lub szyfrowaniu danych. Jeszcze inne wykorzystują zainfekowane urządzenie jako element większej infrastruktury.
Bez aktywnego internetu malware może nadal wykonywać wiele operacji lokalnych, jeśli zostało do tego zaprogramowane:
- modyfikować i usuwać pliki – szkodliwy kod może zmieniać zawartość danych dostępnych z poziomu zainfekowanego konta lub usuwać określone typy plików,
- szyfrować dane – część ransomware może rozpocząć szyfrowanie lokalnych plików bez utrzymywania stałego połączenia z serwerem atakującego,
- uruchamiać się ponownie wraz z systemem – brak internetu sam w sobie nie usuwa mechanizmu odpowiedzialnego za ponowne uruchomienie złośliwego kodu,
- oddziaływać na podłączone nośniki – określone rodzaje malware mogą wykorzystywać pamięci USB i inne dostępne nośniki jako element rozprzestrzeniania infekcji,
- zmieniać dostępne ustawienia systemowe – możliwości zależą od uzyskanych uprawnień oraz mechanizmów ochronnych działających na komputerze.
Ransomware może szyfrować lokalne pliki bez stałego połączenia z siecią
Ransomware jest dobrym przykładem zagrożenia pokazującego, dlaczego brak internetu nie oznacza bezpieczeństwa. CISA definiuje ransomware jako rodzaj malware służącego do szyfrowania plików na urządzeniu, przez co pliki oraz systemy, które z nich korzystają, stają się niedostępne. Współczesne kampanie mogą dodatkowo obejmować kradzież danych i presję związaną z groźbą ich publikacji.
Dokładne zachowanie zależy od konkretnej rodziny ransomware. Nie należy więc zakładać, że każdy wariant zachowa się identycznie po odłączeniu sieci. Jeśli jednak złośliwy program ma już dostęp do plików i wszystkie elementy potrzebne do rozpoczęcia szyfrowania, samo wyłączenie Wi-Fi nie gwarantuje przerwania procesu. To ważne rozróżnienie: odcięcie komunikacji sieciowej i zatrzymanie wykonywania szkodliwego kodu są dwiema różnymi czynnościami.
Malware może kraść dane i przechowywać je do czasu odzyskania połączenia
Brak internetu może uniemożliwić natychmiastowe wysłanie przechwyconych informacji na zewnętrzny serwer. Nie oznacza jednak, że złośliwy program nie może ich wcześniej zebrać. W zależności od swoich możliwości może odczytywać dostępne pliki lub gromadzić inne informacje na urządzeniu. Dane mogą zostać zapisane lokalnie i oczekiwać na późniejszą możliwość transmisji.
To jeden z powodów, dla których ponowne podłączenie zainfekowanego komputera do internetu bez wcześniejszej diagnostyki może być ryzykowne. Malware, które wcześniej nie mogło skontaktować się ze zdalną infrastrukturą, może odzyskać taką możliwość. Brak transmisji nie jest równoznaczny z brakiem wcześniejszego gromadzenia informacji.
Które rodzaje malware potrzebują internetu do pełnego działania?
Część złośliwego oprogramowania jest silnie uzależniona od komunikacji sieciowej. Przykładem może być malware, którego zadaniem jest odbieranie poleceń z infrastruktury command and control, pobieranie dodatkowych komponentów albo wysyłanie skradzionych danych. Bot działający jako element botnetu również potrzebuje komunikacji, aby otrzymywać nowe zadania i uczestniczyć w operacjach koordynowanych z zewnątrz.
Odłączenie internetu może wtedy znacząco ograniczyć możliwości zagrożenia. Zainfekowany komputer przestaje mieć normalny dostęp do zewnętrznych serwerów przez odłączone połączenie, więc malware nie może korzystać z tego kanału komunikacyjnego. Lokalny komponent może jednak pozostać na urządzeniu. Po przywróceniu łączności może ponownie próbować nawiązać połączenie. Dlatego izolacja jest elementem reagowania na incydent, a nie odpowiednikiem usunięcia infekcji.
Czy odłączenie internetu zatrzyma wirusa?
Odłączenie internetu może ograniczyć działanie wirusa, ale nie gwarantuje jego zatrzymania. Ma szczególne znaczenie wtedy, gdy malware próbuje przesyłać informacje, odbierać polecenia, pobierać dodatkowe pliki albo komunikować się z infrastrukturą atakującego. W podejrzanej sytuacji izolacja urządzenia od sieci może ograniczyć dalszą komunikację i jest rozwiązaniem stosowanym również podczas profesjonalnego reagowania na incydenty.
Trzeba jednak odłączyć wszystkie aktywne kanały sieciowe, a nie jedynie zamknąć przeglądarkę. W zależności od konfiguracji urządzenia oznacza to wyłączenie Wi-Fi, odłączenie przewodu Ethernet oraz upewnienie się, że komputer nie korzysta z innego połączenia. W środowisku firmowym dalsze działania powinny być zgodne z procedurą bezpieczeństwa organizacji, ponieważ samodzielne ingerowanie w urządzenie może również utrudnić późniejszą analizę incydentu.
Po izolacji nie należy automatycznie uznawać komputera za bezpieczny. Zagrożenie może nadal znajdować się w pamięci lub na dysku i wykonywać operacje niewymagające sieci. Potrzebne są dalsze działania: identyfikacja infekcji, skanowanie, usunięcie złośliwego oprogramowania lub w poważniejszych przypadkach przywrócenie systemu z zaufanego źródła. Odłączenie kabla może przerwać kontakt malware z atakującym, ale nie usuwa atakującego kodu z komputera.
Czy wirus może rozprzestrzeniać się bez internetu?
Tak, choć możliwości zależą od sposobu działania konkretnego zagrożenia. Historia malware zna przypadki wykorzystujące wymienne nośniki danych do przenoszenia kodu między komputerami. Zainfekowana pamięć USB może stać się fizycznym kanałem transportowym między urządzeniami, również wtedy, gdy nie są one podłączone do internetu. Samo podłączenie nośnika nie oznacza jednak automatycznie infekcji każdego współczesnego systemu. Do skutecznego uruchomienia malware potrzebny jest odpowiedni mechanizm wykonania kodu lub działanie użytkownika.
Szczególnej ostrożności wymagają więc nieznane pamięci USB i nośniki używane wcześniej na podejrzanym komputerze. Nie powinny być bezrefleksyjnie przenoszone między urządzeniami. Microsoft Defender umożliwia skanowanie plików oraz korzystanie z różnych typów skanowania systemu, w tym Microsoft Defender Offline uruchamianego po restarcie poza zwykłym środowiskiem Windows.
Co zrobić po wykryciu wirusa bez dostępu do internetu?
Pierwszym celem jest ograniczenie dalszej aktywności zagrożenia bez wykonywania przypadkowych operacji. Jeżeli komputer znajduje się w sieci lokalnej, warto go od niej odizolować. Następnie warto uruchomić aktualny program antywirusowy, przeprowadzić skanowanie i sprawdzić wykryte zagrożenia. Jeśli komputer służbowy należy do organizacji, właściwym działaniem jest zgłoszenie problemu administratorowi lub zespołowi bezpieczeństwa zamiast samodzielnego usuwania śladów.
Sposób postępowania zależy od rodzaju incydentu. Rozsądna kolejność obejmuje:
- odizolowanie podejrzanego urządzenia od sieci, aby ograniczyć komunikację malware z zewnętrzną infrastrukturą oraz innymi systemami,
- unikanie logowania do ważnych usług na zainfekowanym komputerze, ponieważ przy nieznanym rodzaju malware nie można zakładać, że wprowadzane dane pozostaną poufne,
- uruchomienie skanowania zaufanym narzędziem zabezpieczającym, a w odpowiednich przypadkach użycie skanowania offline, które działa poza standardową sesją Windows,
- sprawdzenie wyniku skanowania i rodzaju wykrytego zagrożenia, ponieważ dalsze postępowanie po wykryciu potencjalnie niechcianej aplikacji może wyglądać inaczej niż po poważnej infekcji ransomware,
- zmianę narażonych haseł z czystego urządzenia, jeśli istnieje podejrzenie kradzieży danych uwierzytelniających, przy czym zakres zmian powinien odpowiadać rodzajowi incydentu,
- rozważenie profesjonalnej pomocy przy poważnej infekcji, szczególnie gdy urządzenie zawiera wartościowe dane, należy do firmy albo malware powraca mimo prób usunięcia.
Jak chronić komputer przed malware działającym offline?
Ochrona przed zagrożeniami działającymi bez internetu zaczyna się jeszcze przed infekcją. Aktualizacje systemu i programów usuwają znane podatności, a aktywny program antywirusowy może wykrywać i blokować część złośliwych plików przed ich uruchomieniem. Znaczenie ma również źródło instalowanych aplikacji. Plik pobrany z przypadkowej witryny może zawierać cały kod potrzebny do szkodliwego działania, dlatego późniejsze odłączenie internetu nie cofnie skutków jego wcześniejszego uruchomienia.
Warto także kontrolować nośniki wymienne i tworzyć kopie zapasowe ważnych danych. Backup powinien być zaprojektowany tak, aby awaria lub infekcja jednego urządzenia nie niszczyła wszystkich kopii jednocześnie. W przypadku ransomware kopie zapasowe mogą zdecydować o możliwości odtworzenia danych bez polegania na zainfekowanym systemie. Ochrona nie powinna więc sprowadzać się do pytania, czy komputer jest online. Liczy się również to, jaki kod może zostać na nim uruchomiony i do jakich zasobów uzyska dostęp.
Czy brak internetu chroni komputer przed wirusami?
Brak dostępu do internetu ogranicza część możliwości malware, ale nie neutralizuje złośliwego oprogramowania znajdującego się już na urządzeniu. Wirus może wykonywać lokalne operacje, ransomware może w określonych warunkach szyfrować pliki, a inne zagrożenie może gromadzić informacje do późniejszego przesłania. Sieć jest potrzebna przede wszystkim do tych działań, które wymagają komunikacji z innymi urządzeniami lub zewnętrzną infrastrukturą.
Po podejrzeniu infekcji odłączenie sieci jest więc rozsądnym działaniem izolacyjnym, po którym powinna nastąpić diagnostyka. Nie należy mylić braku połączenia z usunięciem zagrożenia. Komputer offline może być nadal zainfekowany — malware nie potrzebuje internetu, aby szkodzić temu, do czego ma już lokalny dostęp.
Wpis powstał we współpracy z pcwirus.pl
