Co to jest Malware?

TL;DR — czy malware to wirus?

Nie, malware to nie wirus — to coś znacznie szerszego. Malware (z ang. malicious software) to parasolowy termin obejmujący wszystkie rodzaje złośliwego oprogramowania: wirusy, trojany, ransomware, spyware, adware, robaki sieciowe, rootkity, keyloggery, infostealery i botnety. Wirus to tylko jeden z rodzajów malware — i to dziś dość rzadki. W praktyce większość współczesnych ataków w 2026 roku to nie klasyczne wirusy, ale łańcuchy malware łączące phishing, trojana-loadera, infostealer i finalnie ransomware. Według raportu Verizon DBIR malware pojawia się w większości udanych włamań, a najczęstszy wektor infekcji to wciąż phishingowy email.

Malware vs wirus vs trojan vs ransomware — porównanie

Typ malware	Samoreplikacja	Główny mechanizm propagacji	Główny cel ataku	Aktualne zagrożenie 2026
Wirus	Tak (infekuje pliki)	Uruchomienie zarażonego pliku przez użytkownika	Uszkodzenie systemu, rozprzestrzenianie	Niskie (rzadkie w czystej postaci)
Worm (robak)	Tak (przez sieć)	Eksploity zdalne, podatności CVE, USB	Wyczerpanie sieci, dostarczenie payload	Średnie (głównie OT/ICS, IoT)
Trojan	Nie	Phishing, fałszywe pobrania, socjotechnika	Backdoor, loader dla dalszego malware	Bardzo wysokie
Ransomware	Zazwyczaj nie	Dostarczany przez trojana lub eksploit	Szyfrowanie plus okup, podwójne wymuszenie	Bardzo wysokie
Spyware	Nie	Złośliwe aplikacje, exploity 0-day (Pegasus)	Szpiegowanie aktywności, eksfiltracja danych	Wysokie (cele targetowane)
Adware	Nie	Bundled installers, fake extensions	Wstrzykiwanie reklam, redirect przeglądarki	Średnie (głównie irytujące)
Rootkit	Nie	Wraz z innym malware, exploity kernel	Ukrycie obecności w systemie, persistence	Wysokie (UEFI bootkity rosną)
Infostealer	Nie	Phishing, fake updates, malvertising	Kradzież haseł, ciasteczek, portfeli krypto	Bardzo wysokie (eksplozja 2024-2026)
Botnet client	Czasem (worm-style)	Trojan loader, IoT exploits (Mirai)	DDoS, spam, kopanie krypto, proxy	Wysokie

W praktyce granica między tymi kategoriami coraz bardziej się zaciera. Nowoczesny ransomware niemal zawsze dostarczany jest przez trojana (klasyczny łańcuch: Emotet → TrickBot → Conti), niektóre robaki niosą ransomware payload (WannaCry 2017, NotPetya 2017), a infostealery często sprzedają wykradzione poświadczenia operatorom ransomware na rynkach darknet. Dlatego w cyberbezpieczeństwie używamy malware jako parasola, a konkretne incydenty klasyfikujemy po mechanizmie propagacji (worm / trojan / wirus) oraz celu końcowym (ransomware / spyware / infostealer / botnet).

Definicja malware

Malware (od ang. malicious software) to każdy program, skrypt, makro albo fragment kodu zaprojektowany w celu wyrządzenia szkody — uszkodzenia danych, kradzieży informacji, zakłócenia działania systemów, przejęcia kontroli nad urządzeniem albo nieautoryzowanego dostępu do sieci. Termin obejmuje całą rodzinę zagrożeń, od prostych wirusów z lat 80. po nowoczesne, modularne platformy ransomware-as-a-service obsługujące tysiące afiliantów.

Pojęcie malware jest neutralne wobec platformy (Windows, Linux, macOS, Android, iOS, ICS/OT, IoT, firmware), wobec języka programowania (od assemblera po Rust i Go — coraz popularniejsze wśród operatorów ransomware) oraz wobec modelu biznesowego (jednorazowy atak, kampania APT sponsorowana przez państwo, komercyjny MaaS — Malware-as-a-Service). MITRE ATT&CK kataloguje setki rodzin malware z konkretnymi technikami, taktykami i procedurami (TTPs).

Główne rodzaje malware

1. Wirusy

Klasyczne wirusy komputerowe doklejają swój kod do legalnych plików wykonywalnych, skryptów lub dokumentów. Replikują się przy każdym uruchomieniu zarażonego nośnika. W 2026 są stosunkowo rzadkie w czystej postaci — nowoczesne malware częściej używa mechanizmów trojana lub robaka. Historyczne przykłady: ILOVEYOU (2000), CIH/Chernobyl (1998), Melissa (1999).

2. Robaki sieciowe (worms)

Samoreplikują się przez sieć bez interakcji użytkownika, wykorzystując luki w protokołach i niezałatane podatności. WannaCry (2017) wykorzystał EternalBlue (CVE-2017-0144) i w jeden weekend zainfekował setki tysięcy maszyn na świecie. NotPetya (2017) zniszczył dane w ukraińskich firmach i wyciekł globalnie. Conficker (2008) zostawił po sobie ślad latami. Współczesne worms często celują w OT/ICS, IoT (Mirai i klony) lub serwery z niezałatanymi CVE.

3. Trojany

Podszywają się pod legalne aplikacje i opierają się na socjotechnice — użytkownik sam je uruchamia. Nie replikują się. Współczesne high-impact rodziny: Emotet (banking trojan przekształcony w platformę MaaS), TrickBot, Qakbot (rozbity przez FBI Operation Duck Hunt w sierpniu 2023), IcedID, AsyncRAT, NjRAT. Trojany są dziś dominującym mechanizmem dostarczania ransomware i infostealerów.

4. Ransomware

Szyfruje pliki ofiary i żąda okupu — często w połączeniu z podwójnym wymuszeniem (groźba publikacji wykradzionych danych) i potrójnym wymuszeniem (DDoS na ofierze plus powiadomienia jej klientów). Liderzy 2024-2026: LockBit (rozbity przez Operation Cronos w lutym 2024, ale wskrzeszony), ALPHV/BlackCat, Cl0p (mistrzostwa świata w eksploatacji 0-day w plikach transferowych — MOVEit 2023, Cleo 2024), Akira, Play, BlackByte. Modele biznesowe coraz częściej to Ransomware-as-a-Service z afiliantami.

5. Spyware

Po cichu obserwuje aktywność użytkownika — naciśnięcia klawiszy, ekran, mikrofon, kamerę, lokalizację, kontakty. Najgroźniejszy komercyjny spyware to Pegasus (NSO Group, ataki zero-click przez iMessage i WhatsApp na dziennikarzy i aktywistów), FinFisher i Predator (Intellexa). Konsumencki spyware obejmuje stalkerware — aplikacje instalowane przez osoby bliskie do śledzenia partnerów.

6. Adware

Wstrzykuje reklamy, modyfikuje stronę startową przeglądarki, przekierowuje wyszukiwarkę i czasem zbiera dane przeglądania. Często instalowany jako bundled software razem z darmowymi narzędziami. Mniej groźny niż ransomware, ale stanowi furtkę i bagatelizuje higienę bezpieczeństwa.

7. Scareware

Wyświetla fałszywe komunikaty o infekcji (“Twój komputer jest zainfekowany 17 wirusami!”) i namawia do zakupu fałszywego antywirusa lub do dzwonienia na “wsparcie techniczne Microsoftu” obsługiwane przez oszustów. Często powiązany z technical support scams kierowanymi z indyjskich i pakistańskich call center.

8. Keyloggery

Rejestrują naciśnięcia klawiszy i przesyłają je do atakującego — w celu kradzieży haseł, numerów kart, korespondencji. Bywają software’owe (jako część trojana lub infostealera) albo sprzętowe (mały adapter między klawiaturą a portem USB — wektor insider threat).

9. Rootkity i bootkity

Ukrywają się głęboko w systemie — w jądrze OS, sterownikach, MBR/UEFI firmware — żeby uniknąć wykrycia przez klasyczne AV. UEFI bootkity (LoJax APT28, BlackLotus, CosmicStrand) przeżywają nawet reformat dysku i reinstalację systemu. Wymagają wymiany dysku lub flashowania BIOS-u.

10. Fileless malware

Działa wyłącznie w pamięci RAM, nie zapisuje się na dysk — wykorzystuje legalne narzędzia Windows (PowerShell, WMI, certutil, mshta, rundll32) w technice living-off-the-land (LotL). Trudny do wykrycia signature-based AV; wymaga EDR z analizą behawioralną i monitoringiem PowerShell logging.

11. Botnety

Sieci zainfekowanych urządzeń (komputery, routery, kamery IP, IoT) sterowane przez serwer Command-and-Control (C2). Wykorzystywane do DDoS (Mirai i pochodne), spamu, kopania kryptowalut, proxy dla innych ataków albo brute-force credential stuffing. Mirai od 2016 ma niezliczone klony.

12. Infostealery

Najszybciej rosnąca kategoria malware 2024-2026. Wykradają zapamiętane hasła z przeglądarek, ciasteczka sesji, portfele kryptowalutowe, dane autouzupełnienia, screenshoty pulpitu. Główne rodziny: RedLine Stealer, Lumma (LummaC2), Vidar, Raccoon Stealer, AsyncRAT, StealC. Wykradzione poświadczenia trafiają na rynki darknet (Russian Market, Genesis Market — rozbity 2023) i są surowcem dla operatorów ransomware oraz ataków credential stuffing.

13. Banking trojans

Specjalizowane trojany kradnące poświadczenia bankowości online, podmieniające numery kont docelowych w przelewach, przechwytujące kody SMS. Historycznie: Zeus, Citadel, Dridex. Obecnie: Emotet (zanim stał się platformą MaaS), TrickBot, Qakbot, IcedID, DanaBot. Na Androidzie: Anatsa, Cerberus, Hydra.

14. RAT — Remote Access Trojan

Pełna zdalna kontrola zainfekowanego urządzenia: ekran, mikrofon, kamera, klawiatura, pliki, ruch sieciowy. DarkComet, NjRAT, AsyncRAT, Quasar RAT, Remcos — często sprzedawane jako commodity malware na forach.

Jak malware infekuje urządzenia?

Wektory infekcji w 2026 są dobrze udokumentowane przez raporty Verizon DBIR, IBM X-Force, CrowdStrike Global Threat Report i Mandiant M-Trends. Najważniejsze drogi:

Phishing email z złośliwym załącznikiem

Wciąż wektor numer jeden. Załączniki w 2024-2026: Office documents z makrami (mimo że Microsoft od 2022 blokuje makra z internetu domyślnie), pliki ISO/IMG/VHD (omijają Mark-of-the-Web), LNK shortcuts, OneNote z embedded scripts, HTML smuggling, ZIP z hasłem (ominięcie skanerów email gateway). AI-generowany phishing 2024-2026 wyeliminował błędy językowe, które kiedyś zdradzały kampanie wschodnioeuropejskie.

Drive-by download

Skompromitowana lub złośliwa strona internetowa wykorzystuje exploit kit przeciwko niezałatanej przeglądarce lub pluginowi (Java, Flash — historycznie, dziś rzadkie). Współczesne exploit kits (RIG, Fallout — wycofane; nowe konkurencje rotują szybko) celują w niezałatane Chrome, Edge, Firefox.

Malvertising

Atakujący kupują przestrzeń reklamową w legalnych sieciach (Google Ads, Microsoft Advertising) i wstrzykują złośliwe reklamy promujące fałszywe wersje znanego oprogramowania. Często celują na frazy typu “AnyDesk download”, “Notepad download”, “TeamViewer download” — kierując ofiarę do trojanizowanego installera zamiast oficjalnej strony.

Exploity CVE w niezałatanej infrastrukturze

Masowe skanowanie internetu pod kątem niezałatanych systemów. Klasyki 2023-2024: ProxyShell (Exchange), Log4Shell (CVE-2021-44228), MOVEit Transfer (CVE-2023-34362, wykorzystany przez Cl0p), Citrix Bleed (CVE-2023-4966), Confluence (CVE-2023-22515), Ivanti Connect Secure 2024. Operatorzy ransomware zwykle eksploatują CVE w ciągu dni od publikacji.

Supply chain attacks

Zatrucie pakietu w npm, PyPI, Maven, NuGet (typosquatting, account takeover utrzymującego); trojanizowane installery legalnego oprogramowania (3CX 2023 — North Korea Lazarus, SolarWinds 2020, Codecov 2021, MOVEit 2023). Ekstremalnie trudne do wykrycia, bo ofiary instalują podpisane, oczekiwane pakiety.

USB i BadUSB

Klasyczny wektor Stuxneta (2010, sabotaż wirówek w Natanz). USB rubber ducky i BadUSB udają klawiaturę i wbijają komendy. W enterprise wciąż użyteczne dla airgap targets — Iran, Korea Północna, OT/ICS.

Fałszywe aktualizacje

Fake Adobe Flash update (klasyk), fake Chrome update, fake Microsoft Defender update wyświetlane na skompromitowanych stronach. Technika ClickFix popularna 2024-2026: fake CAPTCHA lub błąd przeglądarki instruuje użytkownika “wklej tę komendę do PowerShella, żeby naprawić” — w rzeczywistości uruchamia infostealer.

Złośliwe rozszerzenia przeglądarki

Fake VPN, fake password manager, fake ad blockers, fake productivity tools przesyłające ciasteczka sesji, screenshoty i historię przeglądania. Czasem legalna początkowo rozszerzenie zostaje wykupiona przez atakujących i otrzymuje “update” zawierający malware (account takeover).

Watering hole

Atakujący kompromituje stronę, którą wie że odwiedzi konkretna grupa ofiar (np. forum branżowe, strona stowarzyszenia zawodowego). Wektor typowy dla APT i ataków targetowanych.

Social media i komunikatory

Złośliwe linki na Discord, Telegram, WhatsApp, fake oferty pracy na LinkedIn (Lazarus Group od lat używa fake LinkedIn recruiterów do dostarczania malware programistom kryptowalut), fake giveaways na X/Twitter.

Insider threats

Pracownik podłącza zainfekowany USB, instaluje crack na służbowym laptopie, świadomie wprowadza malware. Rzadziej omawiane, ale obecne w statystykach DBIR.

Typowe oznaki infekcji malware

Klasyczne objawy techniczne:

• Spowolnienie systemu — niespodziewane zwolnienie pracy, ciągłe 100% CPU lub zapełniony dysk
• Częste crashe i niespodziewane restarty
• Antywirus wyłączony lub niezdolny do aktualizacji — większość nowoczesnego malware próbuje zabić AV jako pierwszy krok
• Nieznane procesy w Menedżerze Zadań, często z losowymi nazwami (np. svhost.exe zamiast svchost.exe)
• Niespodziewany ruch sieciowy do nieznanych serwerów (zwłaszcza do TOR, Tor2Web, lub dziwnych domen)
• Wyskakujące okienka i reklamy poza przeglądarką
• Strona startowa lub wyszukiwarka domyślna zmieniona bez Twojej zgody
• Nieznane programy w autostarcie (msconfig, Task Scheduler, Services, Run keys w rejestrze)
• Pulpit zaszyfrowany z notatką o okupie (ransomware — wówczas już za późno na prewencję)
• Kursor myszki rusza się sam — RAT w aktywnym użyciu przez atakującego
• Niespodziewane transakcje na koncie bankowym, podejrzane logowania do konta email/Microsoft/Google
• Konta zablokowane z powodu podejrzanej aktywności, prośby o reset MFA z lokalizacji których nie odwiedzałeś

W praktyce wiele nowoczesnych malware celowo działa po cichu żeby maksymalizować czas eksfiltracji danych — zwłaszcza infostealery i APT. Brak widocznych objawów nie oznacza braku infekcji. Stąd kluczowy jest monitoring EDR/XDR z analizą behawioralną, nie poleganie na intuicji użytkownika.

Najgroźniejsze rodziny malware w 2025-2026

• Emotet — banking trojan z 2014, przekształcony w platformę MaaS. Wielokrotnie wskrzeszany po operacjach organów ścigania (styczeń 2021 — Operation LadyBird).
• TrickBot — banking trojan z 2016, główny loader Conti ransomware. Sankcjonowany przez US Treasury 2023.
• Qakbot (Qbot) — wieloletni banking trojan, rozbity przez FBI w Operation Duck Hunt (sierpień 2023). Powrót w wariantach 2024.
• IcedID — wypełnił lukę po Emotet jako loader dla ransomware.
• LockBit — najbardziej produktywna rodzina ransomware 2022-2024. Rozbita przez Operation Cronos (NCA, FBI i Europol, luty 2024), ale powróciła w wariancie LockBit 4.
• ALPHV / BlackCat — RaaS w języku Rust, atakował Change Healthcare 2024 (jeden z największych incydentów w historii ochrony zdrowia w USA). Wykonał “exit scam” wiosną 2024.
• Cl0p — specjaliści od eksploatacji 0-day w plikach transferowych: MOVEit 2023, Cleo 2024 — masowe wymuszanie bez szyfrowania.
• Akira, Play, BlackByte, Medusa, Rhysida — aktywne rodziny ransomware 2024-2026.
• RedLine Stealer — infostealer-MaaS, źródło olbrzymich wycieków poświadczeń.
• Lumma (LummaC2) — infostealer, gwałtowny wzrost 2023-2025, częściowo zakłócony przez Microsoft plus DOJ w maju 2025.
• Vidar, Raccoon, StealC — kolejne infostealery na top liście.
• AsyncRAT, NjRAT, Remcos — commodity RAT-y popularne w atakach na małe firmy.
• Pegasus (NSO Group) — najgłośniejszy komercyjny spyware, ataki zero-click na dziennikarzy, dysydentów, polityków.
• FluBot, Anatsa, Hydra, BRATA — banking trojany na Android, dystrybuowane przez SMS, fake apps w Google Play i sideloading.

Jak się chronić przed malware?

Skuteczna obrona to defense-in-depth — wiele warstw zamiast jednego “magicznego” produktu:

1. EDR/XDR zamiast samego antywirusa

Klasyczny signature-based AV widzi tylko znany kod. EDR (Endpoint Detection and Response) i XDR (Extended Detection and Response) analizują behawior procesów, telemetrię systemu, wywołania API i zachowania sieciowe. Czołowi dostawcy: CrowdStrike Falcon, Microsoft Defender for Endpoint (Defender XDR), SentinelOne, Sophos Intercept X, Palo Alto Cortex XDR, Trend Micro Vision One.

2. Agresywne patchowanie i Vulnerability Management

Większość masowych infekcji ransomware przechodzi przez znane CVE bez zero-dayów. Cykl patchowania krytycznych podatności w pojedyncze dni, nie tygodnie. Vulnerability management z kontekstem ryzyka (KEV catalog CISA jako must-fix).

3. MFA na każdym koncie

Zwykle ogranicza szkody nawet po wycieku haseł przez infostealer. Najlepiej phishing-resistant MFA: FIDO2/WebAuthn, klucze sprzętowe (YubiKey, Titan, Feitian) zamiast podatnych na phishing kodów SMS i TOTP. Adaptive MFA z kontekstem ryzyka dla wrażliwych operacji.

4. Email security gateway z sandbox detonation

Proofpoint, Mimecast, Microsoft Defender for Office 365, Abnormal Security, Avanan. Detonacja załączników w izolowanym środowisku przed dostarczeniem; impersonation detection; URL rewriting i time-of-click analysis.

5. DNS filtering

Cloudflare Gateway (Cloudflare One), Cisco Umbrella, NextDNS, Quad9, Webroot DNS Protection. Blokowanie znanych domen C2, phishing, malware. Tania i wysoce skuteczna warstwa.

6. Application allowlisting

Windows Defender Application Control (WDAC), AppLocker, Microsoft Smart App Control. Tylko zatwierdzone aplikacje mogą się uruchomić — eliminuje znaczną część prób exec arbitrary malware.

7. Segmentacja sieci i microsegmentation

Ogranicza lateral movement po przełamaniu pojedynczego endpointa. VLAN-y dla różnych klas urządzeń, jump hosty dla admin access, mikrosegmentacja w data center (Illumio, Akamai Guardicore).

8. Backup 3-2-1 z kopią immutable lub offline

Jedyna prawdziwa polisa anti-ransomware: 3 kopie danych, 2 nośniki, 1 offsite/offline. Immutable backups (Veeam Hardened Repository, AWS S3 Object Lock, Azure Immutable Blob Storage). Regularnie testowane restore — backup który nie restartuje to wishful thinking.

9. Hardening przeglądarki

Site Isolation (włączone domyślnie w Chrome/Edge), Enhanced Safe Browsing, ad blocker (uBlock Origin), HTTPS-Only mode. Brak Flash, Java w przeglądarce. Wymuszone aktualizacje przez MDM/zarządzanie.

10. Edukacja użytkowników i security awareness

Phishing simulations kwartalnie (KnowBe4, Hoxhunt, Proofpoint, CybSafe), krótkie filmiki edukacyjne (nie godzinne korporacyjne nudy), pozytywne wzmocnienie zgłaszania podejrzanych emaili. Cel: zbudowanie kultury “stop and think before you click”.

11. Zasada najmniejszych uprawnień (PoLP)

Użytkownicy nie pracują jako lokalni administratorzy. Wydzielone konta admin do zadań administracyjnych. PAM (Privileged Access Management) dla domain admin. Just-in-time access.

12. Architektura Zero Trust

Nigdy nie ufaj, zawsze weryfikuj — każdy dostęp do każdego zasobu wymaga uwierzytelnienia, autoryzacji i ciągłej walidacji niezależnie od lokalizacji (sieć korporacyjna nie równa się zaufana). ZTNA zamiast tradycyjnego VPN.

Na ogół żadna pojedyncza technologia nie zatrzyma motivated attacker. Kluczowy jest layered defense plus detection and response — założenie, że prewencja zawiedzie i potrzebujesz wykryć i odpowiedzieć szybko.

Co zrobić w przypadku infekcji?

Krok po kroku po wykryciu lub podejrzeniu infekcji:

1. Odłącz urządzenie od sieci — odepnij kabel Ethernet, wyłącz Wi-Fi. Cel: zatrzymać eksfiltrację danych i lateral movement do innych urządzeń. NIE wyłączaj zasilania — utracisz volatile memory potrzebną do analizy forensicznej.

2. Powiadom dział IT lub SOC lub zewnętrznego partnera incident response. Dla organizacji — aktywuj plan reagowania na incydenty (IRP). Jeśli nie masz IRP, masz teraz pilny ticket do napisania.

3. Zachowaj dowody — zrób image pamięci (Memory dump) i obraz dysku przed próbami czyszczenia. Bez tego forensiki nie ustalą scope incydentu ani techniki ataku. Narzędzia: FTK Imager, Magnet RAM Capture, Belkasoft RAM Capturer.

4. Określ scope — ile urządzeń zainfekowanych, jakie dane potencjalnie wykradzione, czy są ślady persistence (Run keys, Scheduled Tasks, WMI subscriptions, services). EDR daje to z timeline.

5. Sprawdź auto-start mechanisms — msconfig, Task Scheduler, Services, Run keys w rejestrze, WMI subscriptions, scheduled scripts. Usuń wszystko podejrzane.

6. Uruchom pełen skan EDR/AV z aktualnymi sygnaturami w Trybie Awaryjnym z siecią ograniczoną do serwera aktualizacji.

7. Zmień wszystkie hasła używane z zainfekowanego urządzenia — z czystego urządzenia, nie z zainfekowanego. Priorytet: konta admin, email, bankowość, password manager (jeśli MFA niewłączone), platformy chmurowe.

8. Monitoruj konta finansowe pod kątem nieautoryzowanych transakcji przez minimum 90 dni. Powiadom bank o incydencie.

9. Powiadom regulatorów jeśli wymagane (RODO/GDPR w UE — 72h do CSIRT/UODO przy naruszeniu danych osobowych; sektorowo: KNF, NIS2, HIPAA w USA).

10. W przypadku ransomware NIE płać okupu bez konsultacji z prawnikami, IR partnerem i organami ścigania (CSIRT GOV, FBI IC3, Europol EC3). Płacenie nie gwarantuje odzyskania danych i może naruszać sankcje (OFAC blacklist).

11. Pełna reinstalacja systemu to zwykle najbezpieczniejsza opcja po poważnej infekcji. Zaawansowane malware (rootkity, UEFI bootkity) przeżywa nawet reformat dysku — w skrajnych przypadkach wymagana wymiana sprzętu lub reflash BIOS.

12. Post-incident review — analiza root cause, lessons learned, aktualizacja kontroli (co zawiodło? phishing? niezałatana CVE? brak MFA? brak EDR?), aktualizacja IRP na podstawie wniosków.

Malware na urządzeniach mobilnych

Mobile malware to rosnący segment, zwłaszcza na Androidzie ze względu na otwarty ekosystem aplikacji.

Android

Dominujący wektor: sideloading APK z nieoficjalnych źródeł i fake apps w Google Play. Klasy zagrożeń:

• Banking trojany: Anatsa (Teabot), Cerberus, Hydra, BRATA, Octo, Hook. Często dystrybuowane przez “loader apps” wyglądające jak czytniki PDF, fake QR scannery, fake VPN. Po instalacji proszą o uprawnienia accessibility services, które dają im pełną kontrolę nad ekranem.
• FluBot (2021-2023) — banking trojan rozpowszechniany przez SMS z fake informacją o paczce kurierskiej. Rozbity w 2022, ale klony krążą.
• Joker, Harly — toll fraud, subskrypcje premium SMS bez wiedzy użytkownika. Wielokrotnie odkrywane w Google Play (setki aplikacji, miliony pobrań przed usunięciem).
• SpyNote, AhMyth, Cerberus — stalkerware i RAT na Androida.
• Ad fraud — aplikacje generujące fake clicks i impressions w tle.

Ochrona: aplikacje tylko z Google Play, włączone Google Play Protect, ograniczone uprawnienia (zwłaszcza Accessibility Services i Device Admin), aktualizacje OS, Play Integrity API dla weryfikacji urządzenia, MDM (Microsoft Intune, Workspace ONE, Jamf) dla firmowych urządzeń.

iOS

Bardziej zamknięty ekosystem — App Store review eliminuje większość commodity malware. Główne zagrożenia to commercial spyware:

• Pegasus (NSO Group) — ataki zero-click przez iMessage (BLASTPASS), FaceTime, WhatsApp. Skierowane na dziennikarzy, aktywistów, polityków, prawników opozycji.
• Predator (Intellexa), FinFisher — analogiczne narzędzia.
• TriangleDB (Operation Triangulation 2023) — wieloletnia kampania szpiegowska przeciwko Kaspersky odkryta w 2023.

Apple wprowadził Lockdown Mode (od iOS 16) jako warstwę ochrony dla użytkowników wysokiego ryzyka: wyłącza preview załączników w iMessage, ogranicza link preview, blokuje wireless connections z nieznanymi urządzeniami, blokuje configuration profile installation.

Sideloading na iOS jest historycznie ograniczony do TestFlight (development) i enterprise certificates (czasem nadużywane przez chińskie pirackie sklepy z aplikacjami). Od iOS 17.4 w UE wprowadzone third-party app stores (Digital Markets Act) — to zmieni krajobraz threat 2025-2026.

Powiązane terminy

• Trojan — rodzaj malware podszywający się pod legalne oprogramowanie
• Ransomware — malware szyfrujący dane i żądający okupu
• Spyware — malware szpiegujące aktywność użytkownika
• Adware — malware wstrzykujący reklamy
• Wirus komputerowy — klasyczny samoreplikujący się malware
• Antywirus — podstawowa kontrola ochrony przed malware
• EDR — Endpoint Detection and Response — nowoczesna ochrona endpointów
• Botnet — sieć zainfekowanych malware urządzeń
• Phishing — główny wektor dostarczania malware
• Rootkit — malware ukrywający obecność w systemie
• Keylogger — malware rejestrujący naciśnięcia klawiszy

Sprawdź nasze usługi

Chcesz chronić organizację przed malware? Sprawdź:

• SOC 24/7 — wykrywanie i blokowanie malware w czasie rzeczywistym
• Incident Response — reakcja na infekcję i forensyka
• Pentesty — testy odporności na realne scenariusze ataków
• Szkolenia Security Awareness — rozpoznawanie phishingu i socjotechniki

Malware to dziś nie pojedyncze zagrożenie, ale cały ekosystem — od commodity infostealerów sprzedawanych za 100 USD na forach po sponsorowane przez państwa APT z zerowymi exploitami. Zazwyczaj skuteczna obrona wymaga warstw: EDR/XDR, patchowanie, MFA, backup 3-2-1, edukacja użytkowników i 24/7 monitoring. Pojedynczy darmowy antywirus na ogół nie wystarczy w realiach 2026 — zwłaszcza dla organizacji obsługujących dane wrażliwe, finansowe lub objęte regulacjami NIS2, DORA, RODO.