Пользователи, ищущие взломанное коммерческое программное обеспечение, бесплатные игры, плагины и неофициальные утилиты, могут получить гораздо больше, чем просто бесплатную загрузку. Microsoft наблюдает развивающуюся кампанию, которая использует троянизированные установщики для превращения загружающих устройств Windows в машины для заработка денег, потребляя их вычислительные ресурсы и интернет-канал без информированного согласия.
Кампания использует поддельные страницы загрузки и установщики в стиле Inno Setup для доставки нескольких пакетов программного обеспечения в течение одной сессии установки, говорится в сообщении Microsoft в блоге.
Было обнаружено, что кампания распространяет три компонента для монетизации, некоторые из которых могут иметь законное применение при установке с ведома пользователя.
«Организации могут снизить свою подверженность этой деятельности, предотвращая использование ненадежных источников программного обеспечения, включая защиту от потенциально нежелательных приложений и мониторинг неожиданных установок программного обеспечения и механизмов сохранения», — заявила компания, добавив, что ее Defender XDR обнаруживает и блокирует несколько полезных нагрузок и поведений, связанных с кампанией.
Поддельные установщики для реальных денег
Кампания начинается с того, что пользователи загружают установщики, рекламируемые как взломанное программное обеспечение, игры, активаторы, плагины или неофициальные утилиты. Microsoft наблюдала приманки, маскирующиеся под такие продукты, как Navicat Premium и аудиоплагины FabFilter, наряду с загрузками игр и утилит.
Установщики используют оболочку в стиле Inno Setup для размещения временных исполняемых файлов во временных каталогах Windows. Нумерованные полезные нагрузки затем выполняются и координируют доставку дополнительного программного обеспечения.
Microsoft заявила, что кампания использует механизм доставки на основе предложений. Установщик взаимодействует с вращающейся инфраструктурой, используя HTTP-обратные вызовы, содержащие такие параметры, как «d=inno» и «r=offer_execution». Эти запросы позволяют кампании отслеживать отдельные предложения программного обеспечения, позволяя нескольким полезным нагрузкам успешно или неуспешно выполняться независимо друг от друга в рамках одной сессии установки.
Первая ветвь монетизации — WorldProxyPool, которая устанавливает proxyware для маршрутизации стороннего интернет-трафика через устройство жертвы. Она также создает запланированные задачи на уровне SYSTEM для запуска агента, выполнения сторожевого таймера и обновлений.
Другая ветвь устанавливает CharityEngine и Berkeley Open Infrastructure for Network Computing (BOINC), а также компоненты, такие как VirtualBox, для облегчения распределенных вычислений.
Третья ветвь устанавливает программное обеспечение типа утилит, связанное с Advanced Windows Manager и Windows Manager. Эти приложения могут участвовать в рекламе, распространении программного обеспечения или партнерской монетизации.
Microsoft призывает защитников тщательно проверять неофициальное программное обеспечение
Microsoft рекомендует предотвращать загрузку из ненадежных источников, особенно взломанного программного обеспечения, генераторов ключей, неофициальных установщиков игр и инструментов активации.
Организациям, использующим Microsoft Defender Antivirus, следует включить защиту, доставляемую в облаке, поддерживать защиту от несанкционированного доступа и настраивать защиту на основе репутации для блокировки ненадежных приложений и загрузок, заявила компания. Она также рекомендует оценить правила снижения поверхности атаки (ASR), которые ограничивают исполняемые файлы на основе распространенности, возраста или критериев доверенного списка.
Для обнаружения и расследования организациям было рекомендовано проверять выполнение из временных каталогов Inno, особенно когда появляются такие файлы, как «eld*.exe, set_*.exe», «FirstFast[1].exe» или «SecondRunner[1].exe».
Microsoft также рекомендует сопоставлять исходящие запросы, содержащие «d=inno» и «r=offer_execution» или «r=offer_execution_fail», с активностью процессов, созданием запланированных задач и установками программного обеспечения.
Неожиданные установки WorldProxyPool, CharityEngine, BOINC или VirtualBox требуют расследования, говорится в сообщении.
Клиенты Defender XDR могут использовать опубликованные Microsoft расширенные запросы для поиска, чтобы выявить связанную активность, а также был предоставлен список индикаторов компрометации (IOC), чтобы помочь защитникам за пределами экосистемы Microsoft.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
