Falske softwareinstallatører slår Windows Update fra

8. september 2026 | Blog

Forfatter : Katie Boquetti | Redaktion : Craig Taylor

Leder af Craig Taylor:

Jeg husker de tidlige dage med søgning. Dogpile , Ask Jeeves , AltaVista , og så kom Google og ændrede alt. I årevis virkede en søgning bare. Man skrev et spørgsmål og stolede på svaret øverst.

På det seneste er den tillid blevet tyndere. Google placerer nu tre, fire, endda fem leverandørannoncer oven på de reelle resultater, og jeg tager mig selv i at springe hele rodet over og i stedet spørge min yndlings-AI. Kald det nostalgi, men jeg savner de dage, hvor toppen af Googles søgeside var et sted, man kunne stole på.

Artiklen nedenfor er en påmindelse om, at rod ikke er det værste, der venter øverst i en Google-søgning. Kriminelle bygger nu falske leverandørsider, kopieret helt ned til logoet og downloadknappen, for at snige malware ind på dine computere. Løsningen på dette kommer i to dele, en gammeldags og en teknisk. Den gammeldags del er enkel. Stop med at stole på søgeresultatet, hent din software direkte fra den officielle leverandørside, og tak den person på dit team, der stopper op for at spørge, før den installerer. Den tekniske del beskytter dig, når en vane forsvinder. Fjern de daglige administratorrettigheder fra dine folks konti. En standardbrugerkonto blokerer det meste af denne malware, da angrebet kræver administratorrettigheder for at slukke for dit forsvar og deaktivere dine opdateringer. Gode vaner holder det risikable klik sjældent, og færrest rettigheder sikrer, at et enkelt forsømmelse ikke afslører hele maskinen.

Del denne her med de mennesker, der stadig skriver et brandnavn i søgefeltet og klikker på det første resultat. De vil takke dig for det.

Og husk: Grin. Lær. Og råb op!
Craig

Malware-links topper søgningen

Microsoft har offentliggjort forskning om en aktiv malwarekampagne med en simpel opsætning. En person søger efter populær software, klikker på et resultat nær toppen af siden, lander på en side, der ligner den rigtige leverandørs hjemmeside præcist, og downloader et installationsprogram. Filen kører. Intet ser galt ud på skærmen. Nedenunder slukker installationsprogrammet for Windows Update, tilføjer Microsoft Defender-udelukkelser og åbner en forbindelse tilbage til angriberen. Alt sammen dårlige resultater.

Der er masser af gode nyheder her. De fleste sikkerhedsværktøjer vil fange disse installationsprogrammer, før de kører. Hvis et slipper igennem, blokerer en standardbruger uden administratorrettigheder det meste af, hvad installationsprogrammet forsøger at gøre. Og når dit team ved, hvor de kan få fat i legitim software, når denne trussel aldrig dine skriveborde overhovedet.

Sådan fungerer falske downloadsider

Angriberne registrerede domæner tæt på rigtige brandnavne ved hjælp af landekodeendelser som .com.cn og .hl.cn. De kopierede leverandørsider ned til layoutet, logoet og den store grønne downloadknap. Efterlignede brands omfattede webbrowsere, PDF-editorer, e-bogslæsere, mindmapping-apps, skærmoptagere, diskværktøjer, oversættelsesværktøjer og spilhardware.

Én detalje gør blokering sværere end normalt. Den downloadede ZIP-fil beholder det samme navn hver gang, mens dens indhold ændres med hver anmodning. Hver besøgende modtager en lidt forskellig fil, så sikkerhedsværktøjer, der leder efter et kendt, forkert filfingeraftryk, har intet at matche. Detektion skal i stedet fokusere på adfærd efter installation.

Bekræftede ofre arbejder inden for sundhedsvæsenet, produktion, spil, teknologi, logistik, regeringen og uddannelsessektoren. Microsoft forbinder aktiviteten med moderat sikkerhed med en gruppe, der spores som Silver Fox, kendt for falske downloadsider fra leverandører, der går flere år tilbage.

Hvad sker der, når nogen klikker på kør

Installationsprogrammet foretager en række lydløse ændringer på computeren.

Den opretter planlagte opgaver med navne, der kopierer rutinemæssigt IT-vedligeholdelsesarbejde, så et hurtigt kig på Opgaveplanlægger viser intet usædvanligt.
Den kører en kortvarig opgave med SYSTEM-rettigheder og bruger PowerShell til at tilføje Microsoft Defender-udelukkelser til sine egne mapper.
Den sletter skyggekopier af volumen og fjerner dermed én nem vej tilbage til en fungerende tilstand.
Den omskriver mappetilladelser med icacls, så almindelige brugere ikke kan slette de skadelige filer.
Den stopper og deaktiverer Windows Update-tjenesterne, omdøber opdateringsfiler og rydder opdateringscachen.
Den når derefter ud til angriberens servere via usædvanlige netværksporte.

Microsoft Defender registrerede aktiviteten og startede automatisk inddæmning, så kampagnens endelige mål forbliver ukendt.

Det trin, der fortjener din opmærksomhed

At slå Windows Update fra forårsager den største langsigtede skade på denne liste. En computer med deaktiverede opdateringer fortsætter med at virke, fortsætter med at åbne e-mails og fortsætter med at se sund ud for den person, der bruger den. Hver ny sikkerhedsopdatering springer maskinen over. Uger senere sidder den samme computer udsat for fejl, der allerede er rettet, på alle andre skriveborde på dit kontor.

Betragt rapportering af patches som et sikkerhedssignal, ikke som en rengøringspligt for IT. En maskine, der går i stå i dine opdateringsrapporter, har fortjent et nærmere kig.

Fem hurtige trin til handling for forsvaret

Hvert trin nedenfor giver dig tre niveauer. God får dig i gang i dag med få eller ingen omkostninger. Bedre giver stærkere beskyttelse med en beskeden indsats. Bedst giver dig den bedste beskyttelse af alle, og det tager mere tid og penge at stå op og fortsætte med at løbe.

Fjern lokale administratorrettigheder.
- godFjern den lokale administratorkonto fra de konti, folk bruger hele dagen, og giv IT-personalet en separat administratorkonto, der kun er beregnet til installationer. Dette koster kun en ændring af politikken, og det modvirker det meste af skaden i denne artikel, da malwaren kræver administrator- eller SYSTEM-rettigheder for at deaktivere Defender og Windows Update.
- BedreTilføj godkendelsesbaseret elevation via dit RMM- eller endpoint-værktøj, så en bruger anmoder om et engangsløft til en legitim installation, og du godkender det på få sekunder.
- BedstUdrul fuld privilegiestyring på tværs af alle enheder, uden stående administratorrettigheder nogen steder. Dette er den stærkeste version, og det kræver planlægning og et betalt værktøj at køre godt.
Kontroller, hvor din software kommer fra.
- godSend folk til den officielle leverandørside for hvert værktøj, og få software direkte fra kilden. Spring søgemaskinen over, hvor de falske sider gør deres bedste arbejde.
- BedreLav et selvbetjeningskatalog som f.eks. Intune Company Portal, et RMM-softwarekatalog eller Jamf på Mac. Brugere installerer godkendte værktøjer med et enkelt klik og rører aldrig et søgeresultat.
- BedstSkift til fuldt administreret implementering, hvor personalet ikke installerer noget selv, og alle apps ankommer via IT. Dette er den reneste kontrol, og den koster mest i opsætning og personale.
Kontroller, hvad der kører på dine computere.
- godSlå Smart App Control til i Windows 11, og indstil Gatekeeper på Mac til kun at tillade App Store og identificerede udviklere. Begge dele leveres gratis med operativsystemet og stopper mange ukendte installationsprogrammer, før de åbner.
- BedreBloker programmer fra at løbe tør for downloads og midlertidige mapper, et foretrukket startsted for disse installationsprogrammer.
- BedstImplementer fuld tilladelsesliste for applikationer med værktøjer som WDAC eller AppLocker, hvor kun software, du godkender, kører. Dette er den højeste mur mod falske installationsprogrammer, og det tager realtid at bygge og finjustere, så pålideligt arbejde aldrig bryder sammen.
Filtrer internettet på netværksniveau.
- godRet dine enheder mod en gratis beskyttende DNS-tjeneste som Quad9, der blokerer kendte ondsindede og lignende domæner, før en download starter.
- BedreSkift til en filtreringstjeneste med blokering og rapportering af nyligt registrerede domæner, der fanger hundredvis af nye .com.cn-sider, som disse angribere har overtaget over.
- BedstKør fuld DNS- og webfiltrering på tværs af kontor- og fjernenheder med politikker og logføring pr. gruppe. Dette giver den bredeste dækning, og det medfører en omkostning pr. sæde og løbende justering.
Beskyt og pas på dit forsvar.
- godAktivér manipulationsbeskyttelse i Microsoft Defender. Denne gratis indstilling blokerer uønskede ændringer af din beskyttelse, herunder de udelukkelsesmapper, som denne malware forsøger at tilføje.
- BedreGennemgå programrettelsesrapportering hver måned med et gratis eller billigt værktøj, og følg op på maskiner, der er blevet stille, da en stille maskine ofte signalerer deaktiverede opdateringer.
- BedstTilføj en EDR- eller administreret MDR-tjeneste, der overvåger adfærd i stedet for filfingeraftryk – den pålidelige fangst, når hver download er en unik fil. Dette er den stærkeste detektion, og den kommer med et månedligt gebyr og opsætningsarbejde.

Start med God på hver linje i denne uge. Du vil afslutte dagen mere sikkert, end du startede, og du bygger mod Bedre og Bedst på din egen tidslinje.

Tegn på en mistænkelig maskine, der er værd at tjekke

Nye planlagte opgaver kører med SYSTEM-rettigheder og generiske vedligeholdelsesnavne.
PowerShell-kommandoer tilføjer Defender-udelukkelsesstier.
Windows Update-tjenesterne er stoppet eller deaktiveret uden en ændringsanmodning.
Enheder forsvinder fra dine programrettelsesrapporter.
Udgående trafik på usædvanligt høje portnumre.

Hvis en maskine viser disse tegn, er genopbygning bedre end rengøring. Malwaren fjerner skyggekopier, låser sine egne mapper og afbryder opdateringer, så en delvis oprydning efterlader problemer. Genskab et image af enheden, skift de adgangskoder, der bruges på den, og fortsæt med ro i sindet.

Dit næste lille skridt

Vælg en god handling fra hvert trin ovenfor, og implementer den i dag. Fortæl dit team om dette angreb, og gennemgå de beskyttelser, du tilføjer på deres vegne. Bed alle om at lære den ene pålidelige forklaring, webadressen, og om at tjekke med dig, før de installerer noget nyt. De gode trin tager minutter, ikke eftermiddage, og hvert trin efterlader din organisation mere sikker i aften, end den var i morges. Opbyg vanen, beløn folk for at spørge, før de installerer, og bliv ved med at tude.

Ofte stillede spørgsmål (FAQ)

Hvordan finder jeg en falsk downloadside, før jeg klikker?

Se på webadressen i stedet for sidens design, da designet er en næsten perfekt kopi. Mærkelige landekodeender, bindestregsmærker og ukendte underdomæner er almindelige tegn. Den stærkere løsning er at holde op med at stole på øjnene. Få software fra en administreret kilde som et selvbetjeningskatalog eller den officielle leverandørside, så et falsk resultat aldrig kommer i billedet.

Hvorfor er det vigtigt at ændre et filfingeraftryk?

Mange sikkerhedsværktøjer identificerer skadelige filer ved hjælp af en unik hashværdi. Når en server opretter en ny kopi af malwaren for hver download, får hvert offer en unik fil, så hashbaseret blokering vinder aldrig frem. Adfærdsbaseret detektion bærer i stedet byrden.

Hvor risikabelt er en deaktiveret Windows Update-tjeneste?

Ét kompromis bliver til en åben eksponering. Computeren ser og føles normal ud, men mangler alle de programrettelser, der er blevet udgivet siden da. Maskiner i denne tilstand giver angribere en pålidelig måde at komme tilbage på flere måneder senere.

Beskytter Microsoft Defender mig her?

Delvist. Defender registrerede denne kampagne og indeholdt den i de sager, som Microsoft undersøgte. Malwaren forsøger stadig at tilføje sine egne udelukkelsesmapper ved hjælp af SYSTEM-rettigheder, så beskyttelsen afhænger af, at manipulationsbeskyttelse er aktiveret, at ændringer i udelukkelser gennemgås, og at personale arbejder uden unødvendige administratorrettigheder.

Er dette kun et problem for virksomheder, der opererer i Kina?

Den rapporterede effekt er centreret omkring Kina-baserede virksomheder og kinesisktalende brugere, da de falske sider bruger kinesisksproget indhold. Teknikken spredes godt. Falske installationskampagner, der er rettet mod engelsksprogede mærker, dukker regelmæssigt op, og efterinstallationsfunktionen fungerer på samme måde på enhver Windows-computer.

Hvad med medarbejdere, der installerer software derhjemme på en arbejdslaptop?

Samme råd, varmere levering. Folk installerer personlige værktøjer på arbejdsenheder, fordi de prøver at få noget fra hånden. Giv dem et selvbetjeningskatalog, hvor de kan installere godkendte værktøjer med et enkelt klik, en nem måde at anmode om tilføjelser på og en standardkonto uden administratorrettigheder. Den risikable omvej i søgemaskinerne forsvinder, og et enkelt tilfældigt klik gør langt mindre skade.