Fałszywy instalator programu: ostrzeżenie Microsoftu

Microsoft Defender Experts śledzi aktywną kampanię, w której fałszywe strony pobierania naśladują witryny znanych producentów i dostarczają złośliwe instalatory. Celem są osoby samodzielnie szukające popularnych programów. Microsoft obserwował głównie zaatakowane urządzenia związane z działalnością organizacji w Chinach oraz urządzenia użytkowników chińskojęzycznych; nie wskazał Polski. Jeśli trafiłeś na taką stronę, nie używaj przycisku pobierania. Jeśli pobrałeś plik, nie uruchamiaj go; po uruchomieniu instalatora na urządzeniu służbowym odłącz komputer od sieci i zgłoś zdarzenie zespołowi IT lub bezpieczeństwa.

Jak wyglądała fałszywa strona pobierania

Microsoft opisał strony podszywające się między innymi pod Razer, Microsoft Edge, Kaspersky, Sejda PDF, DiskGenius, draw.io, SteelSeries i Calibre. Były to dopracowane kopie stron producentów, a wspólnym elementem był wyraźny przycisk „Download now”.

Po jego użyciu przeglądarka pobierała archiwum ZIP z infrastruktury kontrolowanej przez atakujących. Microsoft obserwował rodziny nazw takie jak app_setup.*, zinst.*, zintall.*, intsoft.* i innstll.*. Ten sam adres pobierania mógł zwrócić archiwum o tej samej nazwie, lecz z inną zawartością.

Co zdradza tę kampanię

• adres strony zawiera nazwę znanej marki, ale nie jest domeną producenta; w obserwowanej infrastrukturze często pojawiały się końcówki .com.cn, .hl.cn i .cn;
• przycisk „Download now” prowadzi do archiwum pobieranego z innej infrastruktury niż strona, którą użytkownik uważa za witrynę producenta;
• nazwy archiwów i instalatorów wyglądają technicznie i zmieniają się, a zawartość może różnić się między pobraniami;
• uruchomienie instalatora prowadzi do kolejnych składników, mechanizmów utrzymania dostępu oraz prób osłabienia ochrony urządzenia.

Szerszy mechanizm opisaliśmy przy fałszywych stronach pobierania narzędzi IT. Inne zdarzenia pokazywały tę samą decyzję użytkownika przy fałszywym LastPass Authenticator na GitHubie oraz przy złośliwej reklamie HBO Max na Reddicie.

Co zrobić po wejściu na stronę lub pobraniu pliku

Tylko trafiłem na stronę: zamknij ją bez używania przycisku pobierania. Jeżeli potrzebujesz programu, otwórz stronę producenta wpisując znany adres samodzielnie albo korzystając z firmowego katalogu aplikacji.

Pobrałem archiwum, ale niczego nie uruchomiłem: nie otwieraj znajdującego się w nim instalatora. Na urządzeniu służbowym zachowaj adres fałszywej strony, nazwę pobranego pliku i miejsce jego zapisania, a pobranie zgłoś zespołowi IT lub bezpieczeństwa do sprawdzenia bez uruchamiania instalatora.

Uruchomiłem instalator: odłącz urządzenie od sieci i zgłoś zespołowi IT lub bezpieczeństwa, że plik pochodził z fałszywej strony pobierania. Podaj adres strony i nazwę pliku; incydent możesz także zgłosić CERT Polska przez incydent.cert.pl.

Czego nie robić

Nie uruchamiaj ponownie pobranego pliku, żeby sprawdzić, czy „tym razem” zachowa się inaczej. Nie wracaj też na tę samą podobną domenę po kolejną kopię: Microsoft wykazał, że identycznie nazwane archiwa mogły mieć różną zawartość przy kolejnych pobraniach.

Jak działa ten mechanizm

To wariant phishingu, w którym przynętą jest fałszywa witryna producenta zamiast wiadomości. Użytkownik sam szuka programu, a strona wykorzystuje zaufanie do marki, aby skłonić go do pobrania i uruchomienia instalatora.