Falske programvareinstallatører slår av Windows Update

8. september 2026 | Blogg

Forfatter : Katie Boquetti | Redaksjonell : Craig Taylor

Lederartikkel av Craig Taylor:

Jeg husker de første dagene med søk. Dogpile , Ask Jeeves , AltaVista , og så kom Google og forandret alt. I årevis fungerte et søk ganske enkelt. Du skrev inn et spørsmål og stolte på svaret nær toppen.

I det siste har tilliten svekket seg. Google plasserer nå tre, fire, til og med fem leverandørannonser over de virkelige resultatene, og jeg tar meg selv i å hoppe over hele rotet og heller spørre min favoritt-AI. Kall det nostalgi, men jeg savner dagene da toppen av Googles søkeside var et sted man kunne stole på.

Artikkelen nedenfor er en påminnelse om at rot ikke er det verste som venter øverst i et Google-søk. Kriminelle lager nå falske leverandørsider, kopiert ned til logoen og nedlastingsknappen, for å snike skadelig programvare inn på datamaskinene dine. Løsningen på dette kommer i to deler, en gammeldags og en teknisk. Den gammeldagse delen er enkel. Slutt å stole på søkeresultatet, skaff deg programvaren rett fra den offisielle leverandørsiden, og takk personen i teamet ditt som stopper opp for å spørre før installasjon. Den tekniske delen beskytter deg når en vane glipper. Fjern daglige administratorrettigheter fra folks kontoer. En standard brukerkonto blokkerer det meste av denne skadelige programvaren, siden angrepet trenger administratorrettigheter for å slå av forsvaret ditt og deaktivere oppdateringene dine. Gode vaner holder det risikable klikket sjeldent, og færrest rettigheter sørger for at én glipp ikke avslører hele maskinen.

Del denne med de som fortsatt skriver inn et merkenavn i søkefeltet og klikker på det første resultatet. De vil takke deg for det.

Og husk: Le. Lær. Og juble!
Craig

Lenker til skadelig programvare topper søkeresultatene

Microsoft publiserte forskning på en aktiv skadevarekampanje med et enkelt oppsett. Noen søker etter populær programvare, klikker på et resultat nær toppen av siden, lander på en side som ser nøyaktig ut som den virkelige leverandørens nettsted, og laster ned et installasjonsprogram. Filen kjører. Ingenting ser galt ut på skjermen. Under slår installasjonsprogrammet av Windows Update, legger til Microsoft Defender-unntak og åpner en forbindelse tilbake til angriperen. Alt sammen dårlige resultater.

Det er mange gode nyheter her. De fleste sikkerhetsverktøy vil fange opp disse installasjonsprogrammene før de kjører. Hvis ett slipper gjennom, blokkerer en standardbruker uten administratorrettigheter det meste av det installasjonsprogrammet prøver å gjøre. Og når teamet ditt vet hvor de kan få tak i legitim programvare, når denne trusselen aldri skrivebordene deres i det hele tatt.

Hvordan falske nedlastingssider fungerer

Angriperne registrerte domener som lignet på ekte merkenavn ved hjelp av landskodeender som .com.cn og .hl.cn. De kopierte leverandørsider ned til layouten, logoen og den store grønne nedlastingsknappen. Imiterte merkevarer inkluderte nettlesere, PDF-redigeringsprogrammer, e-boklesere, tankekartapper, skjermopptakere, diskverktøy, oversettelsesverktøy og spillmaskinvare.

Én detalj gjør blokkering vanskeligere enn vanlig. Den nedlastede ZIP-filen beholder samme navn hver gang, mens innholdet endres for hver forespørsel. Hver besøkende mottar en litt forskjellig fil, så sikkerhetsverktøy som leter etter et kjent skadet filfingeravtrykk har ingenting å matche. Deteksjon må i stedet fokusere på atferd etter installasjon.

Bekreftede ofre jobber innen helsevesen, produksjon, spilling, teknologi, logistikk, offentlig sektor og utdanning. Microsoft knytter aktiviteten med moderat sikkerhet til en gruppe som spores som Silver Fox, kjent for falske nedlastingssider for leverandører som går flere år tilbake.

Hva skjer etter at noen klikker på kjør

Installasjonsprogrammet gjør en rekke stille endringer på datamaskinen.

Den oppretter planlagte oppgaver med navn som kopierer rutinemessig IT-vedlikeholdsarbeid, så en rask titt på Oppgaveplanleggeren viser ingenting uvanlig.
Den kjører en kortvarig oppgave med SYSTEM-rettigheter og bruker PowerShell til å legge til Microsoft Defender-unntak for sine egne mapper.
Den sletter skyggekopier av volum, og fjerner én enkel vei tilbake til en fungerende tilstand.
Den omskriver mappetillatelser med icacls, slik at vanlige brukere ikke kan slette de skadelige filene.
Den stopper og deaktiverer Windows Update-tjenestene, gir nytt navn til oppdateringsfiler og tømmer oppdateringsbufferen.
Den når deretter ut til angriperens servere over uvanlige nettverksporter.

Microsoft Defender oppdaget aktiviteten og startet automatisk inneslutning, så det endelige målet med kampanjen forblir ukjent.

Steget som fortjener din oppmerksomhet

Å slå av Windows Update gjør mest langsiktig skade på denne listen. En datamaskin med oppdateringer deaktivert fortsetter å fungere, fortsetter å åpne e-post og fortsetter å se frisk ut for personen som bruker den. Hver ny sikkerhetsoppdatering hopper over maskinen. Uker senere sitter den samme datamaskinen utsatt for feil som allerede er fikset på alle andre skrivebord på kontoret ditt.

Behandle rapportering av oppdateringer som et sikkerhetssignal, ikke som et IT-husarbeid. En maskin som blir stille i oppdateringsrapportene dine har fortjent en nærmere titt.

Fem raske steg til handling for forsvaret

Hvert trinn nedenfor gir deg tre nivåer. Bra får deg i gang i dag til liten eller ingen kostnad. Bedre gir sterkere beskyttelse med moderat innsats. Best gir deg mest beskyttelse av alle, og det tar mer tid og penger å stå opp og fortsette å løpe.

Fjern lokale administratorrettigheter.
- FlinkFjern lokale administratorrettigheter fra kontoene folk bruker hele dagen, og gi IT-ansatte en egen administratorkonto kun for installasjoner. Dette koster ingenting annet enn en endring av policyen, og det omgjør mesteparten av skaden i denne artikkelen, siden skadevaren trenger administrator- eller SYSTEM-rettigheter for å deaktivere Defender og Windows Update.
- BedreLegg til godkjenningsbasert heving gjennom RMM- eller endepunktverktøyet ditt, slik at en bruker ber om et engangsløft for en legitim installasjon, og du godkjenner det i løpet av sekunder.
- BesteRull ut full rettighetsadministrasjon på tvers av alle enheter, uten faste administratorrettigheter noe sted. Dette er den sterkeste versjonen, og det krever planlegging og et betalt verktøy for å kjøre bra.
Kontroller hvor programvaren din kommer fra.
- FlinkSend folk til den offisielle leverandørsiden for hvert verktøy og få programvare rett fra kilden, og hopp over søkemotoren der de falske nettstedene gjør sitt beste arbeid.
- BedreLag en selvbetjeningskatalog som Intune Company Portal, en RMM-programvarekatalog eller Jamf på Mac. Folk installerer godkjente verktøy med ett klikk og berører aldri et søkeresultat.
- BesteGå over til fullstendig administrert implementering, der ansatte ikke installerer noe på egenhånd, og alle apper kommer gjennom IT. Dette er den reneste kontrollen, og den koster mest i oppsett og bemanning.
Kontroller hva som kjører på datamaskinene dine.
- FlinkSlå på Smart App Control i Windows 11 og angi at Gatekeeper på Mac bare tillater App Store og identifiserte utviklere. Begge leveres gratis med operativsystemet og stopper mange ukjente installasjonsprogrammer før de åpnes.
- BedreBlokker programmer fra å gå tom for nedlastinger og midlertidige mapper, et favorittsted for oppstart av disse installasjonsprogrammene.
- BesteImplementer fullstendig tillatelsesliste for apper med verktøy som WDAC eller AppLocker, der bare programvare du godkjenner kjører i det hele tatt. Dette er den høyeste muren mot falske installatører, og det tar sanntid å bygge og finjustere, slik at pålitelig arbeid aldri brytes sammen.
Filtrer nettet på nettverksnivå.
- FlinkRett enhetene dine mot en gratis beskyttende DNS-tjeneste som Quad9, som blokkerer kjente ondsinnede og lignende domener før en nedlasting starter.
- BedreGå over til en filtreringstjeneste med blokkering og rapportering av nylig registrerte domener, som fanger opp hundrevis av nye nettsteder i .com.cn-stil som disse angriperne stjeler.
- BesteKjør full DNS- og nettfiltrering på tvers av kontor- og eksterne enheter med gruppespesifikke retningslinjer og logging. Dette gir den bredeste dekningen, og det har en kostnad per sete og kontinuerlig finjustering.
Beskytt og pass på forsvaret ditt.
- FlinkSlå på manipuleringsbeskyttelse i Microsoft Defender. Denne gratisinnstillingen blokkerer uønskede endringer i beskyttelsen din, inkludert ekskluderingsmappene som denne skadelige programvaren prøver å legge til.
- BedreGjennomgå oppdateringsrapportering hver måned med et gratis eller rimelig verktøy og følg opp maskiner som har blitt stille, siden en stille maskin ofte signaliserer deaktiverte oppdateringer.
- BesteLegg til en EDR- eller administrert MDR-tjeneste som overvåker atferd i stedet for filfingeravtrykk, den pålitelige fangsten når hver nedlasting er en unik fil. Dette er den sterkeste deteksjonen, og den kommer med en månedlig kostnad og oppsettarbeid.

Start på Bra på hver linje denne uken. Du vil avslutte dagen tryggere enn du startet, og du bygger mot Bedre og Best på din egen tidslinje.

Tegn som er verdt å sjekke på en mistenkelig maskin

Nye planlagte oppgaver som kjører med SYSTEM-rettigheter og generiske vedlikeholdsnavn.
PowerShell-kommandoer som legger til Defender-ekskluderingsstier.
Windows Update-tjenestene ble stoppet eller deaktivert uten en endringsforespørsel.
Enheter forsvinner fra oppdateringsrapportene dine.
Utgående trafikk på uvanlig høye portnummer.

Hvis en maskin viser disse tegnene, er gjenoppbygging bedre enn rengjøring. Skadevaren fjerner skyggekopier, låser sine egne mapper og avbryter oppdateringer, så en delvis opprydding etterlater problemer. Lag et nytt image av enheten, endre passordene som brukes på den, og fortsett med trygghet.

Ditt neste lille skritt

Velg en god handling fra hvert trinn ovenfor og sett den på plass i dag. Fortell teamet ditt om dette angrepet, og gå gjennom beskyttelsene du legger til på deres vegne. Be alle om å lære seg den ene pålitelige varslingen, nettadressen, og å sjekke med deg før de installerer noe nytt. De gode trinnene tar minutter, ikke ettermiddager, og hvert trinn gjør organisasjonen din tryggere i kveld enn den var i morges. Bygg vanen, belønn folk for å spørre før de installerer, og fortsett å tute.

Ofte stilte spørsmål (FAQ)

Hvordan kan jeg oppdage en falsk nedlastingsside før jeg klikker?

Se på nettadressen i stedet for sidedesignet, fordi designet er en nesten perfekt kopi. Rare landskodeender, merkenavn med bindestrek og ukjente underdomener er vanlige tegn. Den sterkere løsningen er å slutte å stole på øynene. Skaff deg programvare fra en administrert kilde som en selvbetjeningskatalog eller den offisielle leverandørsiden, slik at et falskt resultat aldri kommer inn i bildet.

Hvorfor er det viktig med et endret filfingeravtrykk?

Mange sikkerhetsverktøy identifiserer skadede filer med en unik hash-verdi. Når en server bygger en ny kopi av skadevaren for hver nedlasting, får hvert offer en unik fil, slik at hash-basert blokkering aldri får fotfeste. Atferdsbasert deteksjon bærer i stedet byrden.

Hvor risikabelt er en deaktivert Windows Update-tjeneste?

Ett kompromiss blir til åpen eksponering. Datamaskinen ser ut og føles normal, men mangler alle oppdateringer som er utgitt siden den gang. Maskiner i denne tilstanden gir angripere en pålitelig måte å komme tilbake på måneder senere.

Beskytter Microsoft Defender meg her?

Delvis. Defender oppdaget denne kampanjen og inneholdt den i tilfellene Microsoft studerte. Skadevaren prøver fortsatt å legge til sine egne ekskluderingsmapper ved hjelp av SYSTEM-rettigheter, så beskyttelsen avhenger av at manipuleringsbeskyttelse er aktivert, at endringer i ekskludering gjennomgås og at ansatte arbeider uten unødvendige administratorrettigheter.

Er dette bare et problem for selskaper som opererer i Kina?

Den rapporterte effekten fokuserer på virksomheter basert i Kina og kinesisktalende brukere, siden de falske sidene bruker kinesiskspråklig innhold. Teknikken sprer seg godt. Falske installasjonskampanjer rettet mot engelskspråklige merkevarer dukker opp regelmessig, og oppførselen etter installasjonen fungerer på samme måte på alle Windows-datamaskiner.

Hva med ansatte som installerer programvare hjemmefra på en bærbar PC?

Samme råd, varmere levering. Folk installerer personlige verktøy på arbeidsenheter fordi de prøver å få noe gjort. Gi dem en selvbetjeningskatalog for å installere godkjente verktøy med ett klikk, en enkel måte å be om tillegg på, og en standardkonto uten administratorrettigheter. Den risikable omveien i søkemotorer forsvinner, og ett enkelt klikk gjør mye mindre skade.