הלקוח התלונן שהמחשב איטי. לכאורה, עוד בדיקה שגרתית במשרד: להבין מה מכביד על התחנה ולהחזיר אותה לעבודה נוחה. סריקות הווירוסים לא העלו ממצא שהסביר את הבעיה, אבל משהו בהתנהגות המחשב לא הסתדר לי.
אחרי שלושים שנות עבודה עם מחשבים, כולל מערכות ותיקות, לומדים לשים לב גם למה שלא מופיע בהתראה. התחושה הזאת גרמה לי להמשיך לבדוק מה פועל ברקע, מעבר למה שהמשתמש רואה על המסך.
בבדיקה הבחנתי בכלי שליטה מרחוק שפעלו ברקע והראו סימני עדכון. ביניהם היו התקנות של ScreenConnect שהמשתמש לא זיהה. זו תוכנת תמיכה לגיטימית, אבל היכולות שלה משמעותיות: שליטה במחשב, העברת קבצים והפעלת פקודות. כשגורם לא מורשה משתמש בה, הוא עלול לקבל דרך לפעול בתוך סביבת העבודה של המשרד.
מכאן המשכתי לבדוק את התהליכים והחיבורים. אחד התהליכים נשא שם שדמה לרכיב של דפדפן מוכר. בפועל, הוא נמצא במיקום חריג, ללא חתימה דיגיטלית, והחזיק חיבור פעיל לכתובת חיצונית. נמצאו גם משימות מתוזמנות שנועדו להפעיל רכיבים חשודים מחדש. אלה הוראות אוטומטיות של מערכת ההפעלה, שיכולות להחזיר תוכנה לפעולה גם אחרי שעצרו אותה.
התמונה שהצטברה הצביעה על חדירה ועל אפשרות לגישה לא מורשית ולהוצאת מידע. מחשב כזה עשוי לפתוח דרך לדואר, למסמכים ולמערכות שהעובד מחובר אליהן. הסיכון כולל גם התקנת רכיבים נוספים, פגיעה במחשבים אחרים והשבתת עבודה. לא הייתה הוכחה שמידע אכן הוצא או שמישהו היה מחובר באותו רגע, אבל היה צריך לפעול בזהירות גם מול האפשרויות האלה.
כאן כבר נדרש לחשוב על סדר הפעולות. רציתי לעצור את הפעילות החשודה בלי להחמיר את המצב, ולהקטין את הסיכון גם לשאר תחנות המשרד. טיפלתי במחשב מרחוק, ולכן השבתה גורפת של כל כלי הגישה הייתה עלולה לנתק גם את ערוץ הטיפול שלי. התקנה מחדש לא התאפשרה מיד.
עצרתי ונטרלתי שירותים חשודים, חסמתי את התקשורת שנמצאה וביטלתי מנגנוני הפעלה חוזרת. בהמשך טופלו גם שרידי התקנה במנגנון ההתחברות, והוגדרו סריקות יומיות במחשבי המשרד. בבדיקות שלאחר הפעולות לא זוהתה פעילות של הרכיבים שנוטרלו.
את הממצאים והפעולות ריכזתי בדוח אירוע, לצד מה שעוד נדרש להשלים: טיפול בחשבונות, בדיקות המשך ותכנון התקנה מחדש או החלפה. התלונה על איטיות הובילה לבדיקה עמוקה יותר, ולבעל העסק נשארה תמונה ברורה של הסיכון ושל הדרך קדימה.
מחשב אצלכם מתנהג אחרת מהרגיל? Suntech יכולה לסייע לבדוק מה עומד מאחורי הסימנים ולהגדיר טיפול מסודר.