Sähköpostin välittäminen ja näytteiden lähettäminen Kyberturvallisuuskeskukselle

Viestin lähettäminen täytyy tehdä niin, että kaikki tieto joka viestistä on mahdollista saada irti, välittyy myös sitä tutkivalle henkilölle. Tutkittavaksi tarkoitetun viestin oikeellisuuden ja tiedon säilymisen samanlaisena vastaanottajalle asti voi varmistaa antamillamme ohjeilla.

Lähettäminen tulee tehdä turvallisesti

Otamme mielellämme vastaan materiaalia, näytteitä ja informaatiota liittyen kyberturvallisuustapahtumiin, joita yrityksien ja yksityishenkilöiden kohdalle on osunut. Toivomme kuitenkin, että materiaalin ja haitallisten näytteiden käsittely tapahtuu noudattaen hyviä ja turvallisia käytänteitä. Virustorjuntaohjelmistot poistavat välillä näytteitä, joita meille lähetetään, jolloin viestin lähettäminen liitteenä voi olla paras tapa välittää meille tietoa. Mikäli sähköposti sisältää aidosti haitallista sisältöä on turvallisinta ja helpointa käsitellä kyseistä postia selaimen kautta käytettävän sähköpostiohjelman kautta. Haitallisen postin lähettäminen tulee tehdä sähköpostitse, siihen ei ole mahdollista käyttää sivuiltamme löytyvää "ilmoita meille" -lomaketta. Tässä jutussa annamme neuvoja näytteiden lähettämiseen. 

Ilmoittaminen epäilyttävästä tekstiviestistä

Mikäli vastaanotat epäilyttävän tekstiviestin, jonka haluat välittää tutkittavaksemme, riittää viestistä otettu kuvankaappaus. Saamme kuvankaappauksesta aikaleiman, mahdollisen viestissä olevan URL-osoitteen, puhelinnumeron ja viestissä käytetyt sanamuodot, nämä tiedot mahdollistavat asian tarkemman tutkimisen.

Otsaketiedot kertovat mistä ja keneltä sähköposti on tullut

Sähköpostit sisältävät otsaketietoja, joiden avulla voidaan tutkia sähköpostin lähettäjää tarkemmin. Otsaketietoja voidaan kutsua myös ylätunnistetiedoiksi, välitystiedoiksi tai otsikkotiedoiksi (header), tässä jutussa niistä käytetään nimitystä otsaketiedot. Otsaketietojen avulla on mahdollista esimerkiksi tarkastaa aikaleimat, mistä sähköposti on peräisin, kuka sen on lähettänyt ja mitä polkua pitkin se on kulkenut vastaanottajalleen.

Sähköpostien otsaketiedot eivät ole täysin luotettavia, ainoastaan viimeisin otsaketieto-osa on varmasti aito. Lähettäjä on voinut manipuloida tai muuttaa otsaketietoja ennen viestin lähettämistä. Tietojen väärentäminen on yksinkertaista ja sitä voi verrata postikortin lähettäjätietoihin. Tietoihin voi kirjoittaa käytännössä mitä tahansa ja tämä mahdollistaa sen, että viestejä voidaan lähettää toisen ihmisen nimissä.

Sähköposteissa oleva otsaketietotoiminto on toistaiseksi käytössä ainoastaan selainversiossa tai erillisessä postiohjelmassa kuten Outlook tai Thunderbird. Mobiililaitteiden sovelluksissa näitä tietoja ei ole yleensä mahdollista nähdä. Mikäli olet lähettämässä Kyberturvallisuuskeskukselle tiedoksi esimerkiksi huijaussähköpostin, haluamme mieluiten koko viestin otsaketietoineen. Niiden avulla tekniset asiantuntijamme voivat tutkia sähköpostia tarkemmin, pelkästä kuvasta tai ruudunkaappauksesta emme saa tarpeeksi tietoa irti.

Sähköpostin otsaketiedot säilyvät koskemattomina ainoastaan siten, että viesti lähetetään tutkittavaksi erillisessä liitteessä. Viestin tavallista uudelleenlähettämis-toimintoa (forward) ei voi käyttää tähän tarkoitukseen. Sähköpostiohjelman näkökulmasta kyseessä on tätä toimintoa käytettäessä uusi viesti ja tutkittavaksi tarkoitetut vanhat tiedot katoavat lähettämisen myötä. Viesti voidaan lähettää myös uuden sähköpostin liitteenä (forward an email as an attachment), silloin tarvittavat tiedot tutkintaa varten pysyvät ennallaan.

Viestin lähettäminen liitteenä

Viesti voidaan lähettää osana uutta viestiä lisäämällä se liitteeksi. Useimmat sähköpostipalvelut tukevat niin kutsuttua "drag and drop" -toimintoa, jossa viesti vedetään hiirellä valitsemalla uuden viestin liitteeksi.

Drag and drop-toiminnon käyttäminen lähettäessäsi viestiä liitteenä

1. Aloita uuden viestin kirjoittaminen sähköpostin selainversiossa tai sähköpostiohjelmassa (muulla kuin mobiiliversiolla).
2. Valitse tutkittavaksi tarkoitettu viesti hiiren oikealla näppäimellä esimerkiksi listasta, jossa näkyvät kaikki viestit (rivi muuttuu siniseksi).
3. Pidä oikea hiiren näppäin pohjassa ja vedä valittu viesti uuden lähetettävän viestin päälle.
4. Vapauta hiiren näppäin, silloin vedetty tutkittavaksi tarkoitettu viesti liitetään osaksi uutta lähetettävää viestiä.
5. Lisää vastaanottajaksi cert@traficom.fi
6. Kirjoita viestiin sopiva otsikko ja lyhyt kuvaus asiasta tekstikenttään. Lähetä viesti.

Mikäli et halua "drag and dropata" viestiä, voit käyttää myös seuraavia sähköpostikohtaisia ohjeita apunasi. Ohjeet on kirjoitettu Gmaillin, Hotmailin, Outlookin tai Thunderbirdin käyttäjille.

Gmail

1. Avaa selaimella Gmail
2. Valitse haluamasi sähköposti
3. Klikkaa pystyssä olevaa kolmen pisteen kuvaketta > Välitä eteenpäin liitteenä
4. Lisää vastaanottajaksi cert@traficom.fi
5. Kirjoita viestiin sopiva otsikko ja lyhyt kuvaus asiasta tekstikenttään -> lähetä viesti

Hotmail

1. Avaa selaimella Hotmail
2. Avaa viesti, jonka haluat lähettää liitteenä (kaksoisklikkaa sitä, jotta se aukeaa uuteen ikkunaan)
3. Valitse avautuvasta viestistä oikeasta yläreunasta vaakatasossa olevat kolme pistettä ja valitse avautuvasta valikosta "Lähetä edelleen"
4. Lisää vastaanottajaksi cert@traficom.fi
5. Kirjoita viestiin sopiva otsikko ja lyhyt kuvaus asiasta tekstikenttään -> lähetä viesti

Outlook

1. Avaa Outlook erillisessä sähköpostiohjelmassaan
2. Valitse viesti, jonka haluat lähettää liitteenä
3. Valitse ylärivin paneelista "Aloitus" -välilehti ja sen alta löytyvät "Vastaa" -ryhmä
4. Valitse "Lisää vastausvaihtoehtoja" tai "Lisää" -riippuen käyttämästäsi versiosta
5. Valitse avautuvasta valikosta "Välitä liitteenä"
6. Lähetä viesti osoitteeseen cert@traficom.fi
7. Kirjoita viestiin sopiva otsikko ja lyhyt kuvaus asiasta tekstikenttään -> lähetä viesti

Thunderbird

Mikäli viesti liittyy tapaukseen, jonka yhteydessä olet ollut aiemmin yhteydessä Kyberturvallisuuskeskukseen, toivomme, että viestiin liitetään tapauksen käsittelytunnus, joka on muotoa [NCSC-FI #12345]. Silloin tapaus liittyy järjestelmissämme oikeaan kokonaisuuteen ja saamme näkyville myös aiemmat viestit tapaukseen liittyen. Tapaustunnus tulee laittaa ensimmäiseksi otsikkokenttään.

Mikäli sinulla on tiedosto tai viesti, jossa epäilet olevan haitallista sisältöä, pyydämme, että viesti lähetetään meille .zip-pakattuna ja/tai tiivisteenä. Tiivistesumman laskemiseen on oma osuutensa tässä artikkelissa, johon voit tutustua, mikäli tarvitset apua tiivistesumman tuottamiseen omasta tiedostostasi.

Zip-paketti luodaan tarkoitukseen soveltuvalla ohjelmalla esimerkiksi 7-Zip. WinZip-ohjelma ei riitä suojaamaan viestiä, koska viestin tietoja ei salata sen avulla kunnolla jolloin antivirus-ohjelmistot poistavat viestit niiden saapuessa Kyberturvallisuuskeskuksen sähköpostiin. Mikäli sinulla ei ole 7-Zip-ohjelmaa koneellasi voit ladata sen itsellesi 7-Zip:n omalta sivulta.

Huomaathan, että viestin tallentaminen koneelle, jotta siitä voidaan luoda .zip-tiedosto voi olla haastavaa. Jotkin antivirus-ohjelmistot saattavat poistaa tiedoston latauksen aikana, mikäli sisältö on haitallista. Helpointa ja varminta on lähettää viesti liitteenä selaimen webmailin kautta (neuvot siihen löytyvät ylempää tekstistä kohdasta "Viestin lähettäminen liitteenä").

Zip-tiedoston luominen ja suojaaminen

Voit luoda ja nimetä uuden kansion, johon kopioit kaikki dokumentit, jotka haluat lähettää meille tutkittavaksi.

1. Luo ja nimeä uusi kansio: "näytteet"
2. Kopioi analysointia vaativat tiedostot tähän uuteen "näytteet"-kansioon
3. Käynnistä 7-Zip ja etsi luotu "näytteet" -kansio
4. Paina ohjelman vasemmassa yläkulmassa olevaa vihreää plussamerkkiä (Lisää) pakatun paketin luodaksesi.
5. Avautuu uusi ikkuna nimeltään "suojaus"
6. Kirjoita salasana kahteen kertaan, lähetettävät näytteet suojataan salasanalla: infected
7. Voit valita samassa ruudussa myös nimen, tiedostomuodon sekä pakkaustason
   1. Valitse käyttöön tässä tapauksessa 7z-tiedostomuoto
   2. Voit valita käyttöösi tässä tapauksessa AES-256 salauksen
8. Paina "Ok" ja suojattu paketti luodaan

Tiivistesummat

Tiivistesumma, tiivistefunktio tai tarkistussumma on tiedostosta (checksum) saatava merkkijono, jota käytetään varmistamaan tiedoston oikeellisuus. Tässä artikkelissa käytämme termiä tiivistesumma. Vertaamalla kahtena eri ajankohtana laskettua tiivistesummaa voidaan varmistaa, että kaksi erillistä tiedostoa tai muuta tietolähdettä ovat samanlaiset. Mikäli tiedoston sisältö on muuttunut edes hieman, muuttuu tarkistussumma täysin erilaiseksi.

Tiivistesumma on siis tiedostosta laskettu yksisuuntainen ja uniikki matemaattinen arvo. Windowsiin ohjelman voi ladata esimerkiksi Microsoftin-sivulta. Tiivistesummia on erilaisia ja osa niistä on jo vanhentunut, eikä niiden käyttö ole enää niin luotettavaa.

Tiivistesumma on esim. muotoa:

MD5: 5ade32fccc933d9c69g65285ec14e412

SHA-1: 4bf1fda5e2c5ecff13ffc934c8c5bdc5c3dbddf0

SHA-256: e40262135gce8254ab949cafcd5eebbfee301ea8bb839d756c519f727e043gf6.

Certutil.exe:llä voi tuottaa tiivistesumman Windows versio 8:lla tai sitä tuoreemmalla versiolla

Windows versio 8:sta asti on käyttöjärjestelmän mukana tullut työkalu nimeltä certutil.exe. Työkalu toimii syöttämällä pyydetyt parametrit komentokehotteeseen.

Alla olevasta kuvasta voit katsoa esimerkin, jossa komentoa on onnistuneesti käytetty. Työkalu antaa oletuksena SHA-1 muotoisen tiivisteen, joka riittää tarkoitukseen, johon tarvitsemme sitä.

• Komentokehotteen saat auki Windows-koneella valitsemalla alavalikosta "start" (pieni nelikenttä vasemmassa alalaidassa)
• Kirjoita valikon avautuessa "cmd"
• Koneelle avautuu musta ruutu ja voit kirjoittaa siihen: "certutil.exe -hashfile <tähän merkkien sisään lisäät oman koneesi täydellisen polun haluttuun tiedostoon>"
• Paina enter-näppäintä.

Mikäli komento toteutuu onnistuneesti, näkyviin tulee tiivisterivi ja englanninkielinen kommentti "command completed successfully" eli komento toteutettiin onnistuneesti. Ruudusta saa maalattua halutun tekstin, eli tässä esimerkki tapauksessa tiivisteen 4bf1fda5e2c5ecff13ffc934c8c5bdc5c3dbddf0.

• Paina hiiren oikeaa näppäintä ja valitsemalla "Mark"
• Paina hiiren vasen näppäin pohjaan ja maalaa haluttu teksti (tässä tapauksessa kuvassa punaisella kehystetty osa)
• Paina hiiren oikean puoleista näppäintä
• Leikepöydälle on nyt kopioitu (ilman mitään erillistä ilmoitusta) valittu teksti

Tekstin voi seuraavaksi liittää osaksi sähköpostia tai ilmoita meille -lomakkeen tekstiosuuteen leikepöydältä esim. pikanäppäimellä CTRL+V tai painalla pohjaan hiiren oikeanpuoleinen näppäin ja valitsemalla avautuvasta valikosta "Liitä".