Instalační programy falešného softwaru vypínají službu Windows Update

8. září 2026 | Blog

Autor : Katie Boquetti | Redakční ředitel : Craig Taylor

Editorial Craig Taylor:

Pamatuji si začátky vyhledávání. Dogpile , Ask Jeeves , AltaVista a pak přišel Google a všechno změnil. Po léta vyhledávání prostě fungovalo. Napsali jste otázku a důvěřovali jste odpovědi nahoře.

V poslední době se tato důvěra vytratila. Google teď nad skutečné výsledky umisťuje tři, čtyři, dokonce i pět reklam dodavatelů a já se přistihnu, jak celou tu změť přeskakuji a raději se ptám své oblíbené umělé inteligence. Říkejte tomu nostalgie, ale chybí mi doby, kdy se horní části stránky vyhledávání Google dalo věřit.

Níže uvedený článek připomíná, že nepořádek není to nejhorší, co čeká na začátku vyhledávání Google. Zločinci nyní vytvářejí falešné stránky dodavatelů, zkopírované až po logo a tlačítko pro stažení, aby do vašich počítačů vplazili malware. Řešení se skládá ze dvou částí, jedné staromódní a jedné technické. Ta staromódní část je jednoduchá. Přestaňte důvěřovat výsledkům vyhledávání, stáhněte si software přímo z oficiální stránky dodavatele a poděkujte osobě ve vašem týmu, která se před instalací zastaví a zeptá se. Technická část vás chrání, když se vám stane, že se vám něco nedaří. Odeberte svým lidem každodenní administrátorská práva. Standardní uživatelský účet blokuje většinu tohoto malwaru, protože útok potřebuje administrátorská práva k vypnutí vaší obrany a zakázání aktualizací. Dobré návyky udržují riskantní kliknutí vzácným a co nejméně oprávnění zajistí, že jedno přešlapnutí neprozradí celý stroj.

Sdílejte to s lidmi, kteří stále zadávají název značky do vyhledávacího řádku a klikají na první výsledek. Poděkují vám.

A pamatujte: Smějte se. Učte se. A vzrušujte!
Craig

Odkazy na malware se dostaly na vrchol vyhledávání

Společnost Microsoft zveřejnila výzkum aktivní malwarové kampaně s jednoduchým nastavením. Někdo vyhledává populární software, klikne na výsledek v horní části stránky, dostane se na stránku, která vypadá přesně jako skutečný web dodavatele, a stáhne instalační program. Soubor se spustí. Na obrazovce nevypadá nic špatně. V dalším kroku instalační program vypne službu Windows Update, přidá výjimky z programu Microsoft Defender a otevře spojení zpět s útočníkem. Všechny špatné výsledky.

Je zde spousta dobrých zpráv. Většina bezpečnostních nástrojů tyto instalační programy odhalí ještě před spuštěním. Pokud se nějaký proklouzne, standardní uživatel bez administrátorských práv zablokuje většinu toho, co se instalační program snaží udělat. A když váš tým ví, kde získat legitimní software, tato hrozba se k vašim počítačům vůbec nedostane.

Jak fungují falešné stránky pro stahování

Útočníci zaregistrovali domény podobné skutečným značkám s koncovkami kódů zemí, jako například .com.cn a .hl.cn. Zkopírovali stránky dodavatelů až po rozvržení, logo a velké zelené tlačítko pro stažení. Mezi napodobené značky patřily webové prohlížeče, editory PDF, čtečky elektronických knih, aplikace pro mapování mysli, záznamníky obrazovky, diskové utility, překladatelské nástroje a herní hardware.

Jeden detail blokování ztěžuje více než obvykle. Stažený ZIP soubor si pokaždé zachovává stejný název, zatímco jeho obsah se s každým požadavkem mění. Každý návštěvník obdrží mírně odlišný soubor, takže bezpečnostní nástroje hledající známý otisk poškozeného souboru nemají nic, co by s ním srovnaly. Detekce se musí místo toho zaměřit na chování po instalaci.

Potvrzené oběti pracují ve zdravotnictví, výrobě, herním průmyslu, technologiích, logistice, státní správě a vzdělávání. Microsoft s mírnou jistotou spojuje tuto aktivitu se skupinou sledovanou jako Silver Fox, známou pro falešné stránky pro stahování od dodavatelů, které se vyskytují již několik let.

Co se stane poté, co někdo klikne na tlačítko Spustit

Instalační program provede v počítači řadu tichých změn.

Vytváří naplánované úlohy s názvy kopírujícími rutinní údržbu IT, takže rychlý pohled na Plánovač úloh neukazuje nic neobvyklého.
Spouští krátkodobou úlohu s právy SYSTEM a používá PowerShell k přidání výjimek Microsoft Defenderu pro své vlastní složky.
Odstraní stínové kopie svazků a odstraní tak jednu snadnou cestu zpět do funkčního stavu.
Přepisuje oprávnění ke složkám pomocí icacls, takže standardní uživatelé nemohou škodlivé soubory smazat.
Zastaví a zakáže služby Windows Update, přejmenuje soubory aktualizací a vymaže mezipaměť aktualizací.
Poté se přes neobvyklé síťové porty spojí s útočnými servery.

Microsoft Defender aktivitu detekoval a spustil automatické omezení, takže konečný cíl kampaně zůstává neznámý.

Krok, který si zaslouží vaši pozornost

Vypnutí služby Windows Update způsobuje největší dlouhodobé škody na tomto seznamu. Počítač se zakázanými aktualizacemi stále funguje, otevírá e-maily a pro uživatele vypadá v pořádku. Každá nová bezpečnostní záplata počítač vynechá. O několik týdnů později je tentýž počítač vystaven chybám, které již byly opraveny, na všech ostatních počítačích ve vaší kanceláři.

Hlášení záplat berte jako bezpečnostní signál, ne jako úklidovou práci IT. Počítač, který se v hlášeních aktualizací ztiší, si zaslouží bližší pozornost.

Pět rychlých kroků k obranným akcím

Každý níže uvedený krok vám nabízí tři úrovně. Dobrá varianta vás dnes rozjede s malými nebo žádnými náklady. Lepší varianta přidává silnější ochranu s mírným úsilím. Nejlepší varianta vám poskytuje největší ochranu ze všech a vyžaduje více času a peněz, než se postavíte na nohy a budete pokračovat v běhu.

Odebrat oprávnění místního správce.
- dobrýOdeberte lokální administrátorské oprávnění z účtů, které lidé používají celý den, a poskytněte IT personálu samostatný administrátorský účet pouze pro instalace. To stojí jen změnu zásad a eliminuje většinu škod popsaných v tomto článku, protože malware potřebuje administrátorská nebo SYSTÉMOVÁ oprávnění k deaktivaci Defenderu a Windows Update.
- LepšíPřidejte zvýšení oprávnění na základě schválení prostřednictvím nástroje RMM nebo nástroje pro koncové body, aby uživatel požádal o jednorázové zvýšení oprávnění pro legitimní instalaci a vy jej schválili během několika sekund.
- NejlepšíZaveďte plnou správu oprávnění napříč všemi zařízeními bez jakýchkoli trvalých administrátorských práv. Toto je nejsilnější verze a pro její dobrý chod je potřeba plánování a placený nástroj.
Mějte kontrolu nad tím, odkud váš software pochází.
- dobrýPosílejte lidi na oficiální stránku dodavatele každého nástroje a získejte software přímo od zdroje, přeskočte vyhledávače, kde falešné stránky odvádějí nejlepší práci.
- LepšíVytvořte si samoobslužný katalog, jako je Intune Company Portal, katalog softwaru RMM nebo Jamf na Macu. Lidé si nainstalují schválené nástroje jedním kliknutím a nikdy se nedotknou výsledků vyhledávání.
- NejlepšíPřejděte na plně spravované nasazení, kde zaměstnanci sami nic neinstalují a každá aplikace přichází přes IT oddělení. Toto je nejčistší kontrola a zároveň je nejnákladnější na nastavení a personální obsazení.
Ovládejte, co běží na vašich počítačích.
- dobrýZapněte ve Windows 11 funkci Smart App Control a na Macu nastavte funkci Gatekeeper tak, aby povolil pouze App Store a identifikované vývojáře. Obě funkce se dodávají zdarma s operačním systémem a zastaví mnoho neznámých instalačních programů ještě před jejich spuštěním.
- LepšíBlokuje programy před vyčerpáním složek ke stažení a dočasných složek, což je oblíbené místo spouštění těchto instalačních programů.
- NejlepšíNasaďte úplný seznam povolených aplikací pomocí nástrojů jako WDAC nebo AppLocker, kde se spustí pouze software, který schválíte. Toto je nejvyšší překážka proti falešným instalačním programům a jeho sestavení a ladění vyžaduje skutečný čas, takže důvěryhodná práce nikdy nezklame.
Filtrujte web na úrovni sítě.
- dobrýNamiřte svá zařízení na bezplatnou ochrannou službu DNS, jako je Quad9, která blokuje známé škodlivé a podobné domény před zahájením stahování.
- LepšíPřejděte na filtrovací službu s blokováním a hlášením nově registrovaných domén, která zachycuje nové weby ve stylu .com.cn, kterým tito útočníci čelí po stovkách.
- NejlepšíSpouštějte kompletní filtrování DNS a webu napříč kanceláří a vzdálenými zařízeními s využitím skupinových politik a protokolování. To poskytuje nejširší pokrytí a s sebou nese náklady na licencované zařízení a nutnost průběžného ladění.
Chraňte se a hlídejte svou obranu.
- dobrý: Zapněte ochranu před neoprávněnými změnami v programu Microsoft Defender. Toto bezplatné nastavení blokuje nežádoucí změny vaší ochrany, včetně složek s vyloučeními, které se tento malware snaží přidat.
- LepšíKaždý měsíc kontrolujte hlášení o opravách pomocí bezplatného nebo levného nástroje a sledujte počítače, které přestaly fungovat, protože tichý počítač často signalizuje zakázané aktualizace.
- NejlepšíPřidejte službu EDR nebo spravované MDR, která sleduje chování souborů namísto otisků prstů. Jedná se o spolehlivý způsob detekce, kdy je každé stažení jedinečný soubor. Jedná se o nejsilnější detekci a je spojena s měsíčními náklady a úsilím spojeným s nastavením.

Začněte tento týden v každém řádku s Dobře. Den zakončíte bezpečněji, než jste začali, a na své vlastní časové ose se posunete k Lepšímu a Nejlepšímu.

Znamení, která stojí za to zkontrolovat na podezřelém stroji

Nové naplánované úlohy spuštěné s oprávněními SYSTEM a generickými názvy údržby.
Příkazy PowerShellu přidávající cesty vyloučení Defenderu.
Služby Windows Update byly zastaveny nebo zakázány bez požadavku na změnu.
Zařízení mizející z vašich reportů o opravách.
Odchozí provoz na neobvykle vysokých portech.

Pokud počítač vykazuje tyto příznaky, je lepší obnovit systém než jej vyčistit. Malware odstraňuje stínové kopie, zamyká vlastní složky a přerušuje aktualizace, takže částečné vyčištění zanechává problémy. Vytvořte znovu image zařízení, změňte hesla, která se na něm používají, a pokračujte s jistotou.

Váš další malý krok

Vyberte si z každého výše uvedeného kroku jednu dobrou akci a zaveďte ji ještě dnes. Řekněte svému týmu o tomto útoku a projděte je ochrannými opatřeními, která za ně přidáváte. Požádejte všechny, aby si osvojili jediný spolehlivý ukazatel – webovou adresu – a aby se s vámi poradili, než si instalují cokoli nového. Dobré kroky zaberou jen pár minut, ne odpoledne, a každý z nich zanechá vaši organizaci dnes večer bezpečnější než dnes ráno. Vybudujte si zvyk, odměňte lidi za to, že se před instalací ptají, a neustále je povzbuzujte.

Často kladené otázky (FAQ)

Jak poznám falešný web pro stahování, než na něj kliknu?

Dívejte se spíše na webovou adresu než na design stránky, protože design je téměř dokonalou kopií. Běžnými znaky jsou neobvyklé koncovky kódů zemí, názvy značek s pomlčkou a neznámé subdomény. Silnějším řešením je přestat se spoléhat na vnímání. Pořiďte si software ze spravovaného zdroje, jako je samoobslužný katalog nebo oficiální stránka dodavatele, abyste se nikdy nedostali k falešnému výsledku.

Proč je důležitý otisk měnícího se souboru?

Mnoho bezpečnostních nástrojů identifikuje škodlivé soubory pomocí jedinečné hodnoty hash. Když server pro každé stažení vytvoří novou kopii malwaru, každá oběť dostane jedinečný soubor, takže blokování založené na hodnotě hash nikdy nezíská popularitu. Místo toho nese zátěž detekce založená na chování.

Jak riskantní je zakázaná služba Windows Update?

Jeden kompromis se změní v neomezenou expozici. Počítač vypadá a funguje normálně, ale chybí mu všechny od té doby vydané záplaty. Stroje v tomto stavu útočníkům poskytují spolehlivou cestu zpět o několik měsíců později.

Chrání mě Microsoft Defender i zde?

Částečně. Defender tuto kampaň detekoval a v případech, které Microsoft studoval, ji omezil. Malware se stále pokouší přidávat vlastní složky s vyloučením pomocí SYSTÉMOVÝCH práv, takže ochrana závisí na povolené ochraně proti neoprávněným změnám, kontrole změn vyloučení a na tom, zda zaměstnanci pracují bez zbytečných administrátorských práv.

Týká se to jen firem působících v Číně?

Hlášený dopad se soustředí na operace v Číně a čínsky mluvící uživatele, protože falešné stránky používají čínský obsah. Tato technika se dobře šíří. Falešné instalační kampaně zaměřené na anglicky mluvící značky se objevují pravidelně a chování po instalaci funguje stejně na jakémkoli počítači se systémem Windows.

A co zaměstnanci, kteří si instalují software doma na pracovní notebook?

Stejná rada, jen vřelejší doručení. Lidé si instalují osobní nástroje na pracovní zařízení, protože se snaží něco udělat. Dejte jim samoobslužný katalog pro instalaci schválených nástrojů jedním kliknutím, jednoduchý způsob, jak si vyžádat přidání, a standardní účet bez administrátorských práv. Riziková objížďka vyhledávačů zmizí a jedno zbloudilé kliknutí napáchá mnohem menší škody.