Haittaohjelma (haittaohjelma englanniksi on malware eli malicious software) on mikä tahansa tietokoneeseen, älypuhelimeen, reitittimeen tai verkkopalvelimelle ilman käyttäjän tietoista suostumusta ujuttautuva ohjelmakoodi, joka varastaa tietoja, vaurioittaa järjestelmää tai kaappaa laitteen ulkopuoliseen hallintaan. Kyberrikollisuus toimii teollisesti. Omissa tietoturvatarkastuksissamme ja saastuneiden yritysverkkojen puhdistuksissa olemme huomanneet, kuinka vanha mielikuva kuukausia hiljaa piileskelevästä viruksesta luo petollisen turvallisuudentunteen. Vaikka vakoiluohjelmat ja etähallintatyökalut pyrkivät yhä pysymään näkymättöminä, nykyaikainen infostealer-haittaohjelma tyhjentää selaimen tallennetut salasanat ja aktiiviset istuntoevästeet 3–5 sekunnissa käynnistymisestään.
Kun ymmärrät käytännössä, mikä on haittaohjelma ja mitä haittaohjelmat ovat tekniseltä toimintalogiikaltaan, pystyt katkaisemaan hyökkäyksen ennen kuin vahinko leviää verkkopankkiin, pilvitileille tai yrityksen asiakasrekisteriin. Peli muuttuu nopeasti. Hyökkääjät eivät kirjoita haitallista koodia pelkästä ilkivallasta, vaan jokaisen tartunnan taustalla on suora taloudellinen tavoite.
Tartunta vaatii kanavan. Käytännön kokemus suomalaisten pk-yritysten tietomurtoselvityksistä osoittaa, että yli 80 % onnistuneista hyökkäyksistä käynnistyy tilanteesta, jossa käyttäjä avaa itse haitallisen tiedoston tai ajaa komennon luullessaan käsittelevänsä tavallista laskua, toimitusilmoitusta tai selainpäivitystä.
Rikolliset lähettävät väärennettyjä ostolaskuja, perintäkirjeitä ja paketti-ilmoituksia, joiden liitteenä on makroja sisältävä taulukkolaskentatiedosto tai pakattu levykuva (.iso-, .zip– tai .lnk-tiedosto), joka lataa varsinaisen haittaohjelman ulkoiselta palvelimelta. Huijausviestit näyttävät aidoilta. Haitallisessa hakukonemainonnassa (malvertising) hyökkääjä puolestaan ostaa hakukoneesta sponsoroidun mainospaikan tunnetun ilmaisohjelman nimellä ja ohjaa kävijän kloonisivulle. Sähköposteihin upotetut QR-koodihuijaukset (quishing) taas siirtävät hyökkäyksen suoraan älypuhelimen selaimeen.
Paikkaamaton ohjelmisto vuotaa. Verkkomadot ja murtautumisbotit skannaavat jatkuvasti internetiin avoimia verkkoportteja, kuten tiedostonjakoon tarkoitettua TCP 445 -porttia (SMB) ja etätyöpöytäyhteyksien TCP 3389 -porttia (RDP), joissa puuttuva tietoturvapäivitys päästää hyökkääjän ajamaan koodia suoraan verkon yli ilman klikkausta. Yritysten WordPress-sivustoilla yli 90 % tietomurroista kulkee vanhentuneiden lisäosien, suojaamattoman xmlrpc.php-rajapinnan tai SQL-injektion kautta. Siksi jo verkkokauppa-alustan valinta määrittää verkkopalvelun perussuojauksen, ja säännöllinen koodin auditointi maksaa itsensä nopeasti takaisin, vaikka kokeneen ohjelmistokehittäjän palkka näkyykin kehitysbudjetissa.
Ilmaiset piraattiohjelmat maksavat kalliisti. Maksullisten ohjelmistojen suojauksen kiertävät aktivointityökalut (crack) sekä virallisten sovelluskauppojen ulkopuolelta ladatut Androidin .apk-paketit sisältävät lähes poikkeuksetta troijalaisen, joka saa täydet oikeudet heti, kun käyttäjä kytkee virustorjunnan pois päältä asennusohjeen kehotuksesta. Verkkosivuilla leviävät ClickFix-huijaukset taas näyttävät tekaistun virheilmoituksen ja houkuttelevat käyttäjän liittämään leikepöydältä haitallisen PowerShell-komennon suoraan Windowsin komentoriville. Tuntemattomat USB-muistitikut puolestaan syöttävät latauskomennot koneeseen automaattisesti näppäimistölaitteiksi naamioituneina.
Moni kutsuu arkikielessä jokaista tartuntaa virukseksi, vaikka eri haittaohjelmaperheet poikkeavat toisistaan täysin sekä leviämistavaltaan että puhdistusmenetelmiltään. Seuraava taulukko erittelee keskeiset haittaohjelmatyypit ja niiden teknisen toimintalogiikan.
| Haittaohjelmatyyppi | Tekninen toimintamekanismi ja kohde | Tyypillinen tartuntareitti | Aktivoitumisnopeus ja vaarataso |
|---|---|---|---|
| Infostealer (tietovaras) | Purkaa selainten SQLite-tietokannoista salasanat, maksukortit ja istuntoevästeet (2FA-ohitus) | Hakukonemainokset, piraattiohjelmat, huijausliitteet | Erittäin nopea (3–5 s), kriittinen tilikaappausriski |
| Kiristysohjelma (ransomware) | Lukitsee tiedostot hybridisalauksella (AES-256 ja RSA-4096) sekä tuhoaa varmuuskopiot | Avoin RDP (TCP 3389), VPN-aukot, sähköpostiliitteet | Minuuteista päiviin, lamauttaa koko toiminnan |
| Pankkitroijalainen ja RAT | Ottaa laitteen etähallintaan tai piirtää valekirjautumisikkunan pankkisovelluksen päälle | Tekstiviestilinkit, väärennetyt PDF- ja pakettisovellukset (.apk) | Välitön taustayhteys, kriittinen taloudellinen riski |
| Tietokonevirus | Kiinnittyy ajettavaan ohjelmatiedostoon ja monistuu, kun käyttäjä käynnistää saastuneen tiedoston | Jaetut ohjelmatiedostot, ulkoiset USB-asemat, liitteet | Aktivoituu tiedostoa avattaessa, kohtalainen tai korkea |
| Verkkomato (worm) | Monistaa itsensä itsenäisesti lähiverkossa ilman käyttäjän toimia haavoittuvien porttien kautta | Paikkaamattomat verkkopalvelut, kuten SMB-portti TCP 445 | Leviää sekunneissa verkossa, korkea |
| Vakoiluohjelma (spyware) | Tallentaa näppäinpainallukset (keylogger), ruudunkaappaukset, sijainnin ja viestiliikenteen | Huijaussovellukset, kohdistetut kalasteluviestit, haavoittuvuudet | Toimii piilossa viikkoja tai kuukausia, korkea |
| Rootkit ja tiedostoton koodi | Piiloutuu käyttöjärjestelmän ytimeen (Ring 0) tai toimii suoraan keskusmuistissa | Järjestelmänvalvojan oikeuksien kaappaus, PowerShell ja WMI | Erittäin vaikea havaita perinteisellä tarkistuksella |
| Bottiverkko (botnet) | Liittää laitteen etäohjattuun verkostoon palvelunestohyökkäyksiä ja välityspalvelimia varten | IoT-laitteiden oletussalasanat, vanhentuneet reitittimet ja lisäosat | Jatkuva kuorma (hyökkäysteho jopa 100–1 000 Gbps) |
| Kryptolouhija ja mainosohjelma | Valjastaa suorittimen kryptovaluutan louhintaan (80–100 %:n kuorma) tai syöttää pakkomainoksia | Ilmaisohjelmien kylkiäiset, kaapatut selainlaajennukset | Välitön hidastuminen ja virrankulutuksen kasvu |
Vakoiluohjelmat (englanniksi spyware) tarkkailevat uhria tallentamalla näppäinpainalluksia ja näyttökuvia, mutta nykyaikainen infostealer (kuten Lumma Stealer tai RedLine) iskee huomattavasti nopeammin. Se etsii heti käynnistyttyään Chrome-, Edge- ja Firefox-selainten profiilikansioista paikalliset tietokantatiedostot, purkaa tallennetut salasanat ja kopioi aktiiviset istuntoevästeet (session cookies). Evästekaappaus ohittaa kaksivaiheisen tunnistautumisen (2FA) kokonaan. Varastetun istuntotunnisteen avulla rikollinen avaa saman kirjautuneen istunnon omalla koneellaan ilman salasanaa tai puhelinvahvistusta, minkä seurauksena olemme nähneet hyökkääjien kaappaavan yrityksen Google Ads – ja Facebook Ads -mainostilit muutamassa tunnissa.
Moni etsii tietoa siitä, mitä ransomware suomeksi tarkoittaa: kyseessä ovat kiristysohjelmat, jotka lukitsevat uhrin datan. Se pysäyttää liiketoiminnan. Tunnetut kiristysohjelmaryhmät, kuten LockBit ja Akira, lukitsevat kiintolevyn ja verkkolevyjen tiedostot symmetrisellä AES-256– tai ChaCha20-algoritmilla, salaavat purkuavaimen epäsymmetrisellä RSA-4096-avaimella ja tuhoavat Windowsin paikalliset palautuspisteet komennolla vssadmin.exe delete shadows /all /quiet. Samalla rikolliset kopioivat palvelimelta 10–500 Gt luottamuksellisia asiakirjoja ja vaativat kaksoiskiristyksessä lunnaita myös tietojen julkaisematta jättämisestä, vaikka Traficomin Kyberturvallisuuskeskus ja poliisi ohjeistavat ehdottomasti olemaan maksamatta lunnaita.
Troijalaiset naamioituvat hyötyohjelmiksi. Ne eivät monista itseään itsenäisesti, vaan houkuttelevat käyttäjän asentamaan sovelluksen, joka avaa laitteeseen etähallintayhteyden (Remote Access Trojan eli RAT). Älypuhelimissa vaarallisimpia ovat Android-pankkitroijalaiset, kuten Anatsa, jotka pyytävät asennuksen jälkeen puhelimen Helppokäyttötoiminnot-oikeuksia (Accessibility Services). Heti kun käyttäjä myöntää oikeuden, pankkitroijalainen lukee näytöltä tunnuslukusovelluksen koodit, piirtää pankkisovelluksen päälle väärennetyn kirjautumisikkunan (overlay-hyökkäys) ja käynnistää taustalla luvattomat kansainväliset rahansiirrot ilman käyttäjän huomiota.
Perinteiset virukset tarvitsevat aina isäntätiedoston ja leviävät vasta, kun käyttäjä käynnistää saastuneen ohjelman. Madot (worms) taas monistavat itsensä automaattisesti lähiverkossa avoimien porttien kautta. Kaapatuista laitteista kootut bottiverkot (botnet) osallistuvat jopa 100–1 000 Gbps:n palvelunestohyökkäyksiin, ja kryptolouhijat nostavat suorittimen käyttöasteen 80–100 prosenttiin sekä lämpötilan 85–95 °C:seen. Kaikkein syvimmälle kaivautuvat käyttöjärjestelmän ytimessä (Ring 0) piileskelevät rootkitit ja keskusmuistissa toimivat tiedostottomat haittaohjelmat (fileless malware). Mainosohjelmat (adware) puolestaan kaappaavat selaimen hakukoneen ja syöttävät ruudulle tekaistuja virushälytyksiä.
Järjestelmä jättää jälkiä. Testijaksolla analysoimissamme laitteissa osa tietovarkaista paljastui vasta ulkopuolisesta kirjautumisvaroituksesta, mutta tyypilliset haittaohjelman oireet näkyvät selkeinä teknisinä poikkeamina. Tarkkaile erityisesti näitä kuutta hälytysmerkkiä.
Aloita aina eristyksestä. Katkaise Wi-Fi-yhteys, irrota verkkokaapeli tai kytke älypuhelin lentokonetilaan välittömästi, jotta haittaohjelman yhteys hyökkääjän komentopalvelimeen katkeaa eikä tartunta pääse leviämään lähiverkon muihin laitteisiin. Alla oleva taulukko kokoaa yhteen oikean puhdistuspolun kullekin alustalle.
| Käyttöjärjestelmä tai alusta | Ensisijainen eristys- ja vikasietotila | Tarkistettavat järjestelmäpolut ja oikeudet | Suositeltu puhdistus- ja palautusmenetelmä |
|---|---|---|---|
| Windows 10 ja Windows 11 | Verkon katkaisu ja vikasietotila (Safe Mode, valinta F4) | Tehtävienhallinnan Käynnistys-välilehti, Tehtävien ajoitus, selainlaajennukset | Microsoft Defender Offline -tarkistus, Malwarebytes tai puhdas 8–16 Gt:n USB-asennus |
| macOS (Apple Silicon ja Intel) | Wi-Fi pois ja vikasietotila (virtapainike tai Shift pohjassa käynnistyksessä) | ~/Library/LaunchAgents, /Library/LaunchDaemons sekä asennetut MDM-profiilit | Aktiivisuudenvalvonta, haitallisten .plist-tiedostojen poisto, XProtect ja Malwarebytes |
| Android-älypuhelin | Lentokonetila ja vikasietotila (paina Virta pois -valintaa 2–3 s) | Esteettömyys / Helppokäyttötoiminnot, Laitteen järjestelmänvalvojasovellukset | Oikeuksien poisto, haitallisen sovelluksen poisto, Google Play Protect tai tehdasasetukset |
| iPhone ja iOS | Lentokonetila ja selaimen kaikkien välilehtien sulkeminen | Asetukset, Kalenterin tilatut tilit sekä Yleiset-valikon VPN ja laitehallinta | Vieraiden profiilien ja kalenterien poisto, Safarin tietojen tyhjennys, iOS-päivitys |
| WordPress-verkkosivusto | Huoltotila ja ylläpitotunnusten välitön lukitseminen | wp-content/uploads/, wp-config.php, functions.php ja tietokannan wp_options-taulu | Puhtaiden ydin- ja lisäosatiedostojen palautus, tietokannan siivous ja avainten vaihto |
Käynnistä Windows vikasietotilaan. Pidä Shift-näppäintä pohjassa valitessasi Käynnistä-valikosta ”Käynnistä uudelleen”, etene polkua Vianmääritys – Lisäasetukset – Käynnistysasetukset ja paina näppäintä F4. Aja sen jälkeen Microsoft Defender Offline -tarkistus sekä Malwarebytes-skanneri ja siivoa Tehtävienhallinnan Käynnistys-välilehti. Jos koneella on ollut kiristysohjelma tai infostealer, alusta kiintolevyn osiot ja asenna käyttöjärjestelmä uudelleen puhtaalta 8–16 Gt:n USB-tikulta. Mac-tietokoneella sulje epäilyttävät prosessit Aktiivisuudenvalvonnassa, poista tuntemattomat .plist-tiedostot kansioista ~/Library/LaunchAgents, /Library/LaunchAgents ja /Library/LaunchDaemons sekä poista vieraat profiilit kohdasta Järjestelmäasetukset – Yleiset – Laitehallinta.
Kun epäilet, että sinulla on haittaohjelma puhelimessa, kytke laite heti lentokonetilaan. Pidä Android-laitteen virtavalikon ”Virta pois” -painiketta pohjassa 2–3 sekunnin ajan käynnistääksesi vikasietotilan, poista epäilyttävältä sovellukselta oikeudet kohdista Asetukset – Esteettömyys ja Laitteen järjestelmänvalvojasovellukset ja poista itse sovellus. Pankkitroijalaistapauksissa puhelin kannattaa nollata. Palauta laite silloin suoraan tehdasasetuksiin. iPhone-puhelimissa yli 95 % virushälytyksistä johtuu kalenteri- tai profiilihuijauksista. Puhdistat ne poistamalla vieraat merkinnät valikoista Asetukset – Sovellukset – Kalenteri – Kalenteritilit (tai vanhemmissa Asetukset – Kalenteri – Tilit) sekä Asetukset – Yleiset – VPN ja laitehallinta ja tyhjentämällä Safarin sivuhistorian.
Pelkkä tiedoston poisto pettää. Kun WordPress-sivusto saastuu, aseta sivusto huoltotilaan, korvaa wp-admin– ja wp-includes-ydinkansiot sekä lisäosat puhtailla asennuspaketeilla ja poista wp-content/uploads-kansiosta sinne kuulumattomat .php-takaovet. Siivoa samalla tietokannan wp_users– ja wp_options-taulut, vaihda kaikki salasanat ja päivitä wp-config.php-tiedoston suola-avaimet (WordPress Salts). Vaihtoehtoisesti voit antaa puhdistuksen asiantuntevan digitoimiston hoidettavaksi, joka suojaa palvelimen sovelluspalomuurilla ja poistaa hakukonevaroituksen.
Laitteen puhdistus ei yksin riitä. Jos rikollinen on ehtinyt kopioida verkkopankkitunnuksesi, henkilötietosi tai istuntoevästeesi, sinun on katkaistava väärinkäytökset välittömästi suomalaisissa viranomais- ja luottorekistereissä.
Tehokas haittaohjelmilta suojautuminen nojaa 3-2-1-varmuuskopiointisääntöön: pidä tärkeistä tiedostoista vähintään 3 kopiota 2 eri tallennusmedialla siten, että 1 kopio on kokonaan irti verkosta kiristysohjelmien ulottumattomissa. Ennaltaehkäisy säästää kaikelta tältä. Kun otat samalla käyttöön salasananhallintaohjelman, suojaat tärkeimmät tilisi kalastelunkestävällä FIDO2-turva-avaimella tai pääsyavaimella (passkey) ja pidät käyttöjärjestelmän sekä verkkosivuston lisäosien automaattiset päivitykset päällä, pysäytät hyökkäykset jo ennen kuin haitallinen koodi ehtii käynnistyä.
Nettisivut
Suomalaisen pk-yrityksen ammattimainen verkkosivusto maksaa tyypillisesti 1 200–7 500 € ilman arvonlisäveroa, mutta pelkkä hankintahinta ei vielä paljasta sijoituksen todellista...
Nettisivut
Google Ads tuo asiakkaat, jotka jo etsivät palveluasi, Facebook Ads tavoittaa ihmiset, jotka eivät vielä tiedä tarvitsevansa sitä. Turkulainen autokorjaamo...
Nettisivut
Shopify on kuukausimaksullinen pilvipalvelu, jolla pääset myymään verkossa nopeasti ilman teknistä osaamista. WooCommerce on ilmainen WordPress-lisäosa, joka antaa enemmän vapautta...