Ψεύτικοι εγκαταστάτες λογισμικού απενεργοποιούν το Windows Update

Συγγραφέας : Κέιτι Μποκέτι | Επιμέλεια : Κρεγκ Τέιλορ

Σύνταξη από τον Craig Taylor:

Θυμάμαι τις πρώτες μέρες της αναζήτησης. Τα Dogpile , Ask Jeeves , AltaVista και μετά η Google εμφανίστηκαν και άλλαξαν τα πάντα. Για χρόνια, μια αναζήτηση απλώς λειτουργούσε. Πληκτρολογούσες μια ερώτηση και εμπιστευόσουν την απάντηση κοντά στην κορυφή.

Τον τελευταίο καιρό αυτή η εμπιστοσύνη έχει φθαρεί. Η Google πλέον βάζει τρεις, τέσσερις, ακόμη και πέντε διαφημίσεις προμηθευτών πάνω από τα πραγματικά αποτελέσματα, και πιάνω τον εαυτό μου να παραλείπει όλο αυτό το χάος και να ρωτάει αντ' αυτού την αγαπημένη μου τεχνητή νοημοσύνη. Πες το νοσταλγία, αλλά μου λείπουν οι μέρες που η κορυφή της σελίδας αναζήτησης της Google ήταν ένα σημείο που μπορούσες να εμπιστευτείς.

Το παρακάτω άρθρο αποτελεί υπενθύμιση ότι η ακαταστασία δεν είναι το χειρότερο πράγμα που περιμένει στην κορυφή μιας αναζήτησης Google. Οι εγκληματίες πλέον δημιουργούν ψεύτικες σελίδες προμηθευτών, αντιγραμμένες μέχρι το λογότυπο και το κουμπί λήψης, για να μεταφέρουν κακόβουλο λογισμικό στους υπολογιστές σας. Η λύση για αυτό χωρίζεται σε δύο μέρη, ένα παλιομοδίτικο και ένα τεχνικό. Το παλιομοδίτικο μέρος είναι απλό. Σταματήστε να εμπιστεύεστε το αποτέλεσμα αναζήτησης, κατεβάστε το λογισμικό σας απευθείας από την επίσημη σελίδα προμηθευτή και ευχαριστήστε το άτομο στην ομάδα σας που σταματάει για να ρωτήσει πριν από την εγκατάσταση. Το τεχνικό μέρος σας προστατεύει όταν μια συνήθεια ξεφεύγει. Αφαιρέστε τα καθημερινά δικαιώματα διαχειριστή από τους λογαριασμούς των ανθρώπων σας. Ένας τυπικός λογαριασμός χρήστη αποκλείει το μεγαλύτερο μέρος αυτού του κακόβουλου λογισμικού, καθώς η επίθεση χρειάζεται δικαιώματα διαχειριστή για να απενεργοποιήσει τις άμυνές σας και να απενεργοποιήσει τις ενημερώσεις σας. Οι καλές συνήθειες διατηρούν τα επικίνδυνα κλικ σπάνια και το ελάχιστο προνόμιο διασφαλίζει ότι ένα λάθος δεν αποκαλύπτει ολόκληρο το μηχάνημα.

Μοιραστείτε αυτό με άτομα που εξακολουθούν να πληκτρολογούν μια επωνυμία στη γραμμή αναζήτησης και κάνουν κλικ στο πρώτο αποτέλεσμα. Θα σας ευγνωμονούν γι' αυτό.

Και να θυμάστε: Γελάστε. Μάθετε. Και ξεσηκωθείτε!
Craig

---

Σύνδεσμοι κακόβουλου λογισμικού εμφανίζονται στην κορυφή της αναζήτησης

Η Microsoft δημοσίευσε έρευνα σχετικά με μια ενεργή εκστρατεία κακόβουλου λογισμικού με μια απλή εγκατάσταση. Κάποιος αναζητά δημοφιλές λογισμικό, κάνει κλικ σε ένα αποτέλεσμα κοντά στην κορυφή της σελίδας, καταλήγει σε μια σελίδα που μοιάζει ακριβώς με την πραγματική ιστοσελίδα του προμηθευτή και κατεβάζει ένα πρόγραμμα εγκατάστασης. Το αρχείο εκτελείται. Τίποτα δεν φαίνεται λάθος στην οθόνη. Από κάτω, το πρόγραμμα εγκατάστασης απενεργοποιεί το Windows Update, προσθέτει εξαιρέσεις του Microsoft Defender και ανοίγει μια σύνδεση πίσω στον εισβολέα. Όλα αυτά με άσχημα αποτελέσματα.

Υπάρχουν πολλά καλά νέα εδώ. Τα περισσότερα εργαλεία ασφαλείας θα εντοπίσουν αυτά τα προγράμματα εγκατάστασης πριν καν εκτελεστούν. Εάν κάποιο από αυτά ξεγλιστρήσει, ένας τυπικός χρήστης χωρίς δικαιώματα διαχειριστή μπλοκάρει τα περισσότερα από όσα προσπαθεί να κάνει το πρόγραμμα εγκατάστασης. Και όταν η ομάδα σας ξέρει από πού να βρει νόμιμο λογισμικό, αυτή η απειλή δεν φτάνει ποτέ στους υπολογιστές σας.

Πώς λειτουργούν οι ψεύτικες ιστοσελίδες λήψης

Οι επιτιθέμενοι κατέγραψαν τομείς που ήταν κοντά σε πραγματικές επωνυμίες χρησιμοποιώντας καταλήξεις κωδικού χώρας όπως .com.cn και .hl.cn. Αντέγραψαν σελίδες προμηθευτών μέχρι τη διάταξη, το λογότυπο και το μεγάλο πράσινο κουμπί λήψης. Οι πλαστογραφημένες επωνυμίες περιελάμβαναν προγράμματα περιήγησης ιστού, προγράμματα επεξεργασίας PDF, αναγνώστες ηλεκτρονικών βιβλίων, εφαρμογές χαρτογράφησης μυαλού, συσκευές εγγραφής οθόνης, βοηθητικά προγράμματα δίσκου, εργαλεία μετάφρασης και υλικό παιχνιδιών.

Μία λεπτομέρεια καθιστά τον αποκλεισμό πιο δύσκολο από το συνηθισμένο. Το ληφθέν αρχείο ZIP διατηρεί το ίδιο όνομα κάθε φορά, ενώ το περιεχόμενό του αλλάζει με κάθε αίτημα. Κάθε επισκέπτης λαμβάνει ένα ελαφρώς διαφορετικό αρχείο, επομένως τα εργαλεία ασφαλείας που αναζητούν ένα γνωστό αποτύπωμα κακού αρχείου δεν έχουν τίποτα που να ταιριάζει. Η ανίχνευση πρέπει να επικεντρωθεί στη συμπεριφορά μετά την εγκατάσταση.

Τα επιβεβαιωμένα θύματα εργάζονται στους τομείς της υγειονομικής περίθαλψης, της μεταποίησης, των παιχνιδιών, της τεχνολογίας, της εφοδιαστικής, της κυβέρνησης και της εκπαίδευσης. Η Microsoft συνδέει τη δραστηριότητα με μέτρια εμπιστοσύνη με μια ομάδα που παρακολουθείται ως Silver Fox, γνωστή για ψεύτικες σελίδες λήψης προμηθευτών που χρονολογούνται από αρκετά χρόνια.

Τι συμβαίνει αφού κάποιος κάνει κλικ στην επιλογή εκτέλεσης

Το πρόγραμμα εγκατάστασης κάνει μια σειρά από αθόρυβες αλλαγές στον υπολογιστή.

• Δημιουργεί προγραμματισμένες εργασίες με ονόματα που αντιγράφουν εργασίες ρουτίνας συντήρησης IT, επομένως μια γρήγορη ματιά στο Task Scheduler δεν δείχνει τίποτα ασυνήθιστο.
• Εκτελεί μια σύντομης διάρκειας εργασία με δικαιώματα SYSTEM και χρησιμοποιεί το PowerShell για να προσθέσει εξαιρέσεις του Microsoft Defender για τους δικούς του φακέλους.
• Διαγράφει τα σκιώδη αντίγραφα τόμου, αφαιρώντας μια εύκολη διαδρομή επιστροφής σε μια λειτουργική κατάσταση.
• Ξαναγράφει τα δικαιώματα φακέλων με το icacls, επομένως οι τυπικοί χρήστες δεν μπορούν να διαγράψουν τα κακόβουλα αρχεία.
• Διακόπτει και απενεργοποιεί τις υπηρεσίες Windows Update, μετονομάζει τα αρχεία ενημέρωσης και εκκαθαρίζει την προσωρινή μνήμη ενημερώσεων.
• Στη συνέχεια, επικοινωνεί με τους διακομιστές των εισβολέων μέσω ασυνήθιστων θυρών δικτύου.

Το Microsoft Defender εντόπισε τη δραστηριότητα και ξεκίνησε τον αυτόματο περιορισμό, επομένως ο τελικός στόχος της καμπάνιας παραμένει άγνωστος.

Το βήμα που αξίζει την προσοχή σας

Η απενεργοποίηση του Windows Update προκαλεί τη μεγαλύτερη μακροπρόθεσμη ζημιά σε αυτήν τη λίστα. Ένας υπολογιστής με απενεργοποιημένες ενημερώσεις συνεχίζει να λειτουργεί, συνεχίζει να ανοίγει email και εξακολουθεί να φαίνεται υγιές στο άτομο που τον χρησιμοποιεί. Κάθε νέα ενημέρωση κώδικα ασφαλείας παρακάμπτει τον υπολογιστή. Εβδομάδες αργότερα, ο ίδιος υπολογιστής βρίσκεται εκτεθειμένος σε ελαττώματα που έχουν ήδη διορθωθεί σε κάθε άλλη επιφάνεια εργασίας στο γραφείο σας.

Αντιμετωπίστε την αναφορά ενημερώσεων κώδικα ως σήμα ασφαλείας και όχι ως μια αγγαρεία του IT. Ένας υπολογιστής που σιωπά στις αναφορές ενημερώσεών σας αξίζει μια πιο προσεκτική ματιά.

Πέντε γρήγορα βήματα για δράση για την άμυνα

Κάθε βήμα παρακάτω σας δίνει τρία επίπεδα. Το Good σας βάζει σε κίνηση σήμερα με ελάχιστο ή καθόλου κόστος. Το Better προσθέτει ισχυρότερη προστασία με μέτρια προσπάθεια. Το Best σας προσφέρει την μεγαλύτερη προστασία από όλα και χρειάζεται περισσότερος χρόνος και χρήματα για να σταθείτε και να συνεχίσετε να λειτουργείτε.

1. Αφαίρεση τοπικών δικαιωμάτων διαχειριστή.
   • ΚαλήΑφαιρέστε τον τοπικό διαχειριστή από τους λογαριασμούς που χρησιμοποιούν οι χρήστες όλη την ημέρα και δώστε στο προσωπικό IT έναν ξεχωριστό λογαριασμό διαχειριστή μόνο για εγκαταστάσεις. Αυτό δεν κοστίζει τίποτα άλλο παρά μια αλλαγή πολιτικής και εξαλείφει το μεγαλύτερο μέρος της ζημιάς σε αυτό το άρθρο, καθώς το κακόβουλο λογισμικό χρειάζεται δικαιώματα διαχειριστή ή SYSTEM για να απενεργοποιήσει το Defender και το Windows Update.
   • ΚαλύτεραΠροσθέστε ανύψωση βάσει έγκρισης μέσω του RMM ή του εργαλείου τελικού σημείου, έτσι ώστε ένας χρήστης να ζητήσει μια εφάπαξ ανύψωση για μια νόμιμη εγκατάσταση και να την εγκρίνετε σε δευτερόλεπτα.
   • Πλατφόρμα: Πλήρης διαχείριση προνομίων σε κάθε συσκευή, χωρίς μόνιμα δικαιώματα διαχειριστή πουθενά. Αυτή είναι η ισχυρότερη έκδοση και απαιτεί προγραμματισμό και ένα εργαλείο επί πληρωμή για να λειτουργεί σωστά.
2. Ελέγξτε την προέλευση του λογισμικού σας.
   • Καλή: Στείλτε άτομα στην επίσημη σελίδα του προμηθευτή για κάθε εργαλείο και λάβετε λογισμικό απευθείας από την πηγή, παρακάμπτοντας τη μηχανή αναζήτησης όπου οι ψεύτικοι ιστότοποι κάνουν την καλύτερη δουλειά τους.
   • ΚαλύτεραΔημιουργήστε έναν κατάλογο αυτοεξυπηρέτησης όπως το Intune Company Portal, έναν κατάλογο λογισμικού RMM ή το Jamf σε Mac. Οι χρήστες εγκαθιστούν εγκεκριμένα εργαλεία με ένα κλικ και δεν αγγίζουν ποτέ ένα αποτέλεσμα αναζήτησης.
   • ΠλατφόρμαΜετάβαση σε πλήρως διαχειριζόμενη ανάπτυξη, όπου το προσωπικό δεν εγκαθιστά τίποτα μόνο του και κάθε εφαρμογή έρχεται μέσω του τμήματος IT. Αυτός είναι ο πιο καθαρός έλεγχος και κοστίζει περισσότερο σε εγκατάσταση και στελέχωση.
3. Ελέγξτε τι εκτελείται στους υπολογιστές σας.
   • ΚαλήΕνεργοποιήστε το Smart App Control στα Windows 11 και ρυθμίστε το Gatekeeper σε Mac ώστε να επιτρέπει μόνο το App Store και τους αναγνωρισμένους προγραμματιστές. Και τα δύο παρέχονται δωρεάν με το λειτουργικό σύστημα και σταματούν πολλά άγνωστα προγράμματα εγκατάστασης πριν ανοίξουν.
   • ΚαλύτεραΑποκλεισμός προγραμμάτων από το να εξαντλούνται οι φάκελοι Λήψεων και οι προσωρινοί φάκελοι, ένα αγαπημένο σημείο εκκίνησης για αυτά τα προγράμματα εγκατάστασης.
   • ΠλατφόρμαΑναπτύξτε πλήρη λίστα επιτρεπόμενων εφαρμογών με εργαλεία όπως το WDAC ή το AppLocker, όπου εκτελείται μόνο λογισμικό που εγκρίνετε. Αυτό είναι το υψηλότερο τείχος ενάντια στους ψεύτικους εγκαταστάτες και χρειάζεται πραγματικός χρόνος για να δημιουργηθεί και να ρυθμιστεί, ώστε η αξιόπιστη εργασία να μην σπάσει ποτέ.
4. Φιλτράρετε τον ιστό σε επίπεδο δικτύου.
   • ΚαλήΣτρέψτε τις συσκευές σας σε μια δωρεάν υπηρεσία προστασίας DNS όπως το Quad9, η οποία αποκλείει γνωστούς κακόβουλους και παρόμοιους τομείς πριν ξεκινήσει μια λήψη.
   • ΚαλύτεραΜεταβείτε σε μια υπηρεσία φιλτραρίσματος με αποκλεισμό και αναφορά νέων καταχωρημένων domain, η οποία εντοπίζει τους νέους ιστότοπους τύπου .com.cn που δημιουργούν αυτοί οι εισβολείς κατά εκατοντάδες.
   • ΠλατφόρμαΕκτελέστε πλήρες φιλτράρισμα DNS και ιστού σε όλες τις συσκευές γραφείου και απομακρυσμένες συσκευές με πολιτικές ανά ομάδα και καταγραφή. Αυτό παρέχει την ευρύτερη κάλυψη και έχει κόστος ανά θέση και συνεχή ρύθμιση.
5. Προστάτευσε και πρόσεχε τις άμυνές σου.
   • ΚαλήΕνεργοποιήστε την προστασία από παραβίαση στο Microsoft Defender. Αυτή η δωρεάν ρύθμιση αποκλείει ανεπιθύμητες αλλαγές στην προστασία σας, συμπεριλαμβανομένων των φακέλων εξαίρεσης που προσπαθεί να προσθέσει αυτό το κακόβουλο λογισμικό.
   • ΚαλύτεραΕλέγχετε την αναφορά ενημερώσεων κώδικα κάθε μήνα με ένα δωρεάν ή οικονομικό εργαλείο και παρακολουθείτε μηχανήματα που έχουν σιωπήσει, καθώς ένα μηχάνημα που έχει σιωπήσει συχνά σηματοδοτεί απενεργοποιημένες ενημερώσεις.
   • ΠλατφόρμαΠροσθέστε μια υπηρεσία EDR ή διαχειριζόμενης MDR που παρακολουθεί τη συμπεριφορά αντί για τα δακτυλικά αποτυπώματα των αρχείων, την αξιόπιστη λύση όταν κάθε λήψη είναι ένα μοναδικό αρχείο. Αυτή είναι η ισχυρότερη ανίχνευση και συνοδεύεται από μηνιαίο κόστος και εργασία εγκατάστασης.

Ξεκινήστε από το Καλό σε κάθε γραμμή αυτή την εβδομάδα. Θα τελειώσετε την ημέρα με μεγαλύτερη ασφάλεια από ό,τι ξεκινήσατε και θα βασιστείτε στο δικό σας χρονοδιάγραμμα προς το Καλύτερο και το Καλύτερο.

Σημάδια που αξίζει να ελέγξετε σε ένα ύποπτο μηχάνημα

• Νέες προγραμματισμένες εργασίες εκτελούνται με δικαιώματα SYSTEM και γενικά ονόματα συντήρησης.
• Οι εντολές PowerShell προσθέτουν διαδρομές αποκλεισμού Defender.
• Οι υπηρεσίες του Windows Update διακόπηκαν ή απενεργοποιήθηκαν χωρίς αίτημα αλλαγής.
• Συσκευές που εξαφανίζονται από τις αναφορές ενημερώσεων κώδικα.
• Εξερχόμενη κίνηση σε ασυνήθιστα μεγάλους αριθμούς θυρών.

Εάν ένα μηχάνημα εμφανίσει αυτά τα σημάδια, η ανακατασκευή είναι καλύτερη από τον καθαρισμό. Το κακόβουλο λογισμικό αφαιρεί τα σκιώδη αντίγραφα, κλειδώνει τους δικούς του φακέλους και διακόπτει την ενημέρωση, επομένως ένας μερικός καθαρισμός αφήνει πίσω του τα προβλήματα. Επαναδημιουργήστε την εικόνα της συσκευής, αλλάξτε τους κωδικούς πρόσβασης που χρησιμοποιούνται σε αυτήν και προχωρήστε με σιγουριά.

Το επόμενο μικρό σας βήμα

Επιλέξτε μια Καλή ενέργεια από κάθε παραπάνω βήμα και εφαρμόστε την σήμερα. Ενημερώστε την ομάδα σας για αυτήν την επίθεση και καθοδηγήστε τους στις προστασίες που προσθέτετε εκ μέρους τους. Ζητήστε από όλους να μάθουν τη μία αξιόπιστη πληροφορία, τη διεύθυνση ιστού, και να επικοινωνήσουν μαζί σας πριν εγκαταστήσουν οτιδήποτε νέο. Τα Καλά βήματα διαρκούν λίγα λεπτά, όχι απογεύματα, και το καθένα αφήνει τον οργανισμό σας ασφαλέστερο απόψε από ό,τι ήταν σήμερα το πρωί. Δημιουργήστε τη συνήθεια, ανταμείψτε τους ανθρώπους που ρωτούν πριν από την εγκατάσταση και συνεχίστε να φωνάζετε.

---

Συχνές Ερωτήσεις (FAQ)

Πώς μπορώ να εντοπίσω μια ψεύτικη ιστοσελίδα λήψης πριν κάνω κλικ;

Κοιτάξτε τη διεύθυνση ιστού και όχι το σχεδιασμό της σελίδας, επειδή το σχέδιο είναι σχεδόν τέλειο αντίγραφο. Οι περίεργες καταλήξεις κωδικών χώρας, οι ενωτικές επωνυμίες και τα άγνωστα υποτομείς είναι συνηθισμένα σημάδια. Η ισχυρότερη λύση είναι να σταματήσετε να βασίζεστε σε οπτικές γωνίες. Αποκτήστε λογισμικό από μια διαχειριζόμενη πηγή, όπως έναν κατάλογο αυτοεξυπηρέτησης ή την επίσημη σελίδα προμηθευτή, ώστε να μην εμφανιστεί ποτέ ένα ψεύτικο αποτέλεσμα.

Γιατί έχει σημασία ένα μεταβαλλόμενο δακτυλικό αποτύπωμα αρχείου;

Πολλά εργαλεία ασφαλείας αναγνωρίζουν τα κακά αρχεία μέσω μιας μοναδικής τιμής κατακερματισμού. Όταν ένας διακομιστής δημιουργεί ένα νέο αντίγραφο του κακόβουλου λογισμικού για κάθε λήψη, κάθε θύμα λαμβάνει ένα μοναδικό αρχείο, επομένως το μπλοκάρισμα που βασίζεται στον κατακερματισμό δεν κερδίζει ποτέ έδαφος. Η ανίχνευση που βασίζεται στη συμπεριφορά φέρει το βάρος.

Πόσο επικίνδυνη είναι μια απενεργοποιημένη υπηρεσία Windows Update;

Μία παραβίαση μετατρέπεται σε αόριστη έκθεση. Ο υπολογιστής φαίνεται και αισθάνεται φυσιολογικός, ενώ λείπει κάθε ενημέρωση κώδικα που κυκλοφόρησε από τότε και μετά. Τα μηχανήματα σε αυτήν την κατάσταση δίνουν στους επιτιθέμενους έναν αξιόπιστο τρόπο επιστροφής μήνες αργότερα.

Με προστατεύει εδώ το Microsoft Defender;

Εν μέρει. Το Defender εντόπισε αυτήν την καμπάνια και την περιόρισε στις περιπτώσεις που μελέτησε η Microsoft. Το κακόβουλο λογισμικό εξακολουθεί να προσπαθεί να προσθέσει τους δικούς του φακέλους αποκλεισμού χρησιμοποιώντας δικαιώματα SYSTEM, επομένως η προστασία εξαρτάται από την ενεργοποίηση της προστασίας από παραβίαση, τον έλεγχο των αλλαγών αποκλεισμού και την εργασία του προσωπικού χωρίς περιττά δικαιώματα διαχειριστή.

Είναι αυτό ανησυχία μόνο για εταιρείες που δραστηριοποιούνται στην Κίνα;

Οι αναφερόμενες επιπτώσεις επικεντρώνονται σε επιχειρήσεις με έδρα την Κίνα και χρήστες που μιλούν κινέζικα, καθώς οι ψεύτικες σελίδες χρησιμοποιούν περιεχόμενο στην κινεζική γλώσσα. Η τεχνική αυτή χρησιμοποιείται ευρέως. Ψεύτικες καμπάνιες εγκατάστασης που στοχεύουν εμπορικά σήματα στην αγγλική γλώσσα εμφανίζονται τακτικά και η συμπεριφορά μετά την εγκατάσταση λειτουργεί με τον ίδιο τρόπο σε οποιονδήποτε υπολογιστή με Windows.

Τι γίνεται με τους υπαλλήλους που εγκαθιστούν λογισμικό στο σπίτι σε φορητό υπολογιστή εργασίας;

Ίδια συμβουλή, πιο ζεστή παράδοση. Οι άνθρωποι εγκαθιστούν προσωπικά εργαλεία σε συσκευές εργασίας επειδή προσπαθούν να κάνουν κάτι. Δώστε τους έναν κατάλογο αυτοεξυπηρέτησης για να εγκαθιστούν εγκεκριμένα εργαλεία με ένα κλικ, έναν απλό τρόπο για να ζητούν προσθήκες και έναν τυπικό λογαριασμό χωρίς δικαιώματα διαχειριστή. Η επικίνδυνη παράκαμψη της μηχανής αναζήτησης εξαφανίζεται και ένα αδέσποτο κλικ κάνει πολύ λιγότερη ζημιά.

---

Πηγές:

• Τα Νέα των Χάκερ: Ψεύτικοι εγκαταστάτες λογισμικού απενεργοποιούν το Windows Update και αποδυναμώνουν το Microsoft Defender

---

Ασφαλίστε την επιχείρησή σας με το CyberHoot σήμερα!