Поддельные установщики программного обеспечения отключают обновление Windows.

8 сентября 2026 г. | Блог

Автор : Кэти Бокетти | Редактор : Крейг Тейлор

Редакционная статья Крейга Тейлора:

Я помню первые дни поисковых систем. Dogpile , Ask Jeeves , AltaVista , а затем появился Google и всё изменил. Долгие годы поиск просто работал. Вы вводили вопрос и доверяли ответу, который находился вверху результатов.

В последнее время это доверие пошатнулось. Google теперь выставляет три, четыре, даже пять рекламных объявлений от поставщиков над реальными результатами, и я ловлю себя на том, что пропускаю весь этот бардак и обращаюсь за помощью к своему любимому искусственному интеллекту. Назовите это ностальгией, но я скучаю по тем временам, когда верхняя часть страницы результатов поиска Google была местом, которому можно было доверять.

Приведенная ниже статья напоминает, что беспорядок — это не самое худшее, что может оказаться вверху результатов поиска Google. Преступники теперь создают поддельные страницы поставщиков, копируя всё до логотипа и кнопки загрузки, чтобы внедрить вредоносное ПО на ваши компьютеры. Решение этой проблемы состоит из двух частей: старой и технической. Старая часть проста. Перестаньте доверять результатам поиска, загружайте программное обеспечение напрямую с официальной страницы поставщика и благодарите того сотрудника, который задаёт вопросы перед установкой. Техническая часть защищает вас, когда вы нарушаете привычку. Уберите у своих сотрудников права администратора. Стандартная учетная запись пользователя блокирует большую часть этого вредоносного ПО, поскольку для отключения защиты и обновлений атаке необходимы права администратора. Хорошие привычки позволяют реже совершать рискованные клики, а принцип наименьших привилегий гарантирует, что одна ошибка не выдаст всю систему.

Поделитесь этим с теми, кто до сих пор вводит название бренда в поисковую строку и переходит по первой же ссылке. Они будут вам благодарны.

И помните: смейтесь. Учитесь. И веселитесь!
Крейг

Ссылки на вредоносное ПО занимают первые места в результатах поиска.

Компания Microsoft опубликовала результаты исследования активной кампании по распространению вредоносного ПО с простой схемой запуска. Кто-то ищет популярное программное обеспечение, кликает на результат в верхней части страницы, попадает на страницу, которая выглядит в точности как настоящий сайт поставщика, и скачивает установщик. Файл запускается. На экране ничего подозрительного не отображается. Однако установщик отключает Центр обновления Windows, добавляет исключения в Microsoft Defender и устанавливает обратное соединение со злоумышленником. Все это приводит к негативным последствиям.

Здесь много хороших новостей. Большинство инструментов безопасности обнаружат эти установщики до их запуска. Если какой-то из них всё же проскользнет, обычный пользователь без прав администратора заблокирует большую часть того, что пытается сделать установщик. А когда ваша команда знает, где достать легитимное программное обеспечение, эта угроза вообще никогда не достигнет ваших рабочих мест.

Как работают поддельные сайты для скачивания.

Злоумышленники зарегистрировали домены, близкие к реальным названиям брендов, используя коды стран, такие как .com.cn и .hl.cn. Они скопировали страницы поставщиков вплоть до макета, логотипа и большой зеленой кнопки загрузки. Среди имитируемых брендов были веб-браузеры, редакторы PDF-файлов, электронные книги, приложения для создания интеллект-карт, программы для записи экрана, дисковые утилиты, инструменты перевода и игровое оборудование.

Одна деталь затрудняет блокировку. Загруженный ZIP-файл всегда сохраняет одно и то же имя, в то время как его содержимое меняется при каждом запросе. Каждый посетитель получает немного отличающийся файл, поэтому средства безопасности, ищущие известную «отпечатку» вредоносного файла, не могут найти ему равных. Поэтому обнаружение должно сосредоточиться на поведении пользователя после установки.

Подтвержденные жертвы работают в сферах здравоохранения, производства, игровой индустрии, технологий, логистики, государственного управления и образования. Microsoft с умеренной степенью уверенности связывает эту деятельность с группой, известной как Silver Fox, которая на протяжении нескольких лет занималась созданием поддельных страниц загрузки от поставщиков.

Что происходит после того, как кто-то нажимает кнопку «Запустить»?

Программа установки вносит ряд незаметных изменений в компьютер.

Он создает запланированные задачи с именами, копирующими стандартные работы по техническому обслуживанию ИТ-системы, поэтому беглый просмотр планировщика задач не выявит ничего необычного.
Программа запускает кратковременную задачу с правами SYSTEM и использует PowerShell для добавления исключений Microsoft Defender для своих собственных папок.
Это приводит к удалению теневых копий томов, лишая возможности быстро восстановить работоспособность системы.
Эта программа переписывает права доступа к папкам с помощью icacls, поэтому обычные пользователи не могут удалить вредоносные файлы.
Эта программа останавливает и отключает службы Центра обновления Windows, переименовывает файлы обновлений и очищает кэш обновлений.
Затем оно устанавливает связь с серверами злоумышленников через нестандартные сетевые порты.

Microsoft Defender обнаружил эту активность и запустил автоматическую блокировку, поэтому конечная цель кампании остается неизвестной.

Этап, заслуживающий вашего внимания

Отключение Центра обновления Windows наносит наибольший долгосрочный ущерб из этого списка. Компьютер с отключенными обновлениями продолжает работать, открывает электронную почту и выглядит исправным для пользователя. Каждое новое обновление безопасности обходит систему стороной. Спустя несколько недель тот же компьютер остается уязвимым для уязвимостей, которые уже исправлены на всех остальных настольных компьютерах в вашем офисе.

Воспринимайте сообщения об обновлениях как сигнал безопасности, а не как рутинную задачу по обслуживанию ИТ-инфраструктуры. Если в ваших отчетах об обновлениях отображается сообщение о том, что компьютер перестал отображаться, значит, он заслуживает более тщательного изучения.

Пять быстрых шагов к действиям в сфере обороны

Каждый из описанных ниже уровней соответствует трем основным. Хороший уровень позволяет начать движение уже сегодня с минимальными затратами или вовсе без них. Лучший уровень обеспечивает более надежную защиту при минимальных усилиях. Лучший уровень обеспечивает максимальную защиту, но требует больше времени и денег, чтобы встать на ноги и продолжать движение.

Лишить локальных прав администратора.
- ХорошоУдалите права локального администратора из учетных записей, используемых пользователями в течение всего дня, и предоставьте ИТ-персоналу отдельную учетную запись администратора только для установки программ. Это ничего не стоит, кроме изменения политики, и сводит на нет большую часть ущерба, описанного в этой статье, поскольку вредоносной программе необходимы права администратора или системные права для отключения Защитника Windows и Центра обновления Windows.
- ЛучшаяДобавьте функцию повышения привилегий на основе подтверждения через ваш инструмент RMM или инструмент для работы с конечными точками, чтобы пользователь запрашивал однократное повышение привилегий для легитимной установки, а вы одобряли запрос за считанные секунды.
- ЛучшееВнедрите полное управление привилегиями на каждом устройстве, без необходимости сохранения административных прав. Это самая мощная версия, для её эффективной работы требуется планирование и платный инструмент.
Контролируйте источники получения вашего программного обеспечения.
- ХорошоНаправляйте пользователей на официальную страницу поставщика каждого инструмента и получайте программное обеспечение напрямую от производителя, минуя поисковые системы, где поддельные сайты проявляют себя наилучшим образом.
- ЛучшаяСоздайте каталог самообслуживания, например, Intune Company Portal, каталог программного обеспечения RMM или Jamf для Mac. Пользователи устанавливают одобренные инструменты одним щелчком мыши и никогда не обращаются к результатам поиска.
- ЛучшееПереходите к полностью управляемому развертыванию, когда сотрудники ничего не устанавливают самостоятельно, и каждое приложение поступает через ИТ-отдел. Это наиболее чистый способ управления, но он обходится дороже всего с точки зрения настройки и персонала.
Контролируйте, что запускается на ваших компьютерах.
- ХорошоВключите функцию Smart App Control в Windows 11 и настройте Gatekeeper на Mac так, чтобы разрешить доступ только к App Store и идентифицированным разработчикам. Обе функции поставляются бесплатно вместе с операционной системой и предотвращают запуск многих неизвестных установщиков.
- Лучшая: Предотвращает исчерпание папок «Загрузки» и временных папок, которые часто используются для запуска этих установщиков.
- ЛучшееВнедрите полную проверку разрешенных приложений с помощью таких инструментов, как WDAC или AppLocker, чтобы запускалось только одобренное вами программное обеспечение. Это самая надежная защита от поддельных установщиков, и ее создание и настройка требуют реального времени, чтобы надежная работа никогда не прерывалась.
Фильтрация веб-контента на сетевом уровне.
- ХорошоНастройте свои устройства на использование бесплатного защитного DNS-сервиса, такого как Quad9, который блокирует известные вредоносные и похожие домены до начала загрузки.
- Лучшая: Перейдите на сервис фильтрации с блокировкой и отчетностью по недавно зарегистрированным доменам, который будет выявлять сотни новых сайтов типа .com.cn, которые создают эти злоумышленники.
- Лучшее: Обеспечивает полную фильтрацию DNS и веб-трафика на всех офисных и удаленных устройствах с помощью групповых политик и ведения журналов. Это обеспечивает максимально широкий охват, но влечет за собой затраты на каждое рабочее место и необходимость постоянной настройки.
Берегите и следите за своей обороной.
- ХорошоВключите защиту от несанкционированного доступа в Microsoft Defender. Эта бесплатная настройка блокирует нежелательные изменения вашей защиты, включая папки исключений, которые пытается добавить это вредоносное ПО.
- Лучшая: Ежемесячно проверяйте отчеты об обновлениях с помощью бесплатного или недорогого инструмента и отслеживайте ситуацию с машинами, которые перестали обновляться, поскольку это часто означает, что обновления отключены.
- ЛучшееДобавьте службу EDR или управляемую службу MDR, которая отслеживает поведение, а не «отпечатки» файлов, — это надежный способ обнаружения, когда каждый загружаемый файл уникален. Это наиболее эффективное обнаружение, но оно сопряжено с ежемесячными затратами и работой по настройке.

Начните эту неделю с хорошего результата по каждой строке. Вы закончите день в большей безопасности, чем начали, и будете двигаться к лучшему и наилучшему результату в соответствии со своим собственным графиком.

Признаки, на которые стоит обратить внимание при осмотре подозрительного оборудования.

Новые запланированные задачи, запускаемые с правами SYSTEM и с использованием общих имен для обслуживания.
Команды PowerShell для добавления путей исключения в Defender.
Службы обновления Windows остановлены или отключены без запроса на изменение.
Устройства исчезают из отчетов об обновлениях.
Исходящий трафик на портах с необычно высокими номерами.

Если на компьютере наблюдаются подобные признаки, переустановка системы предпочтительнее очистки. Вредоносное ПО удаляет теневые копии, блокирует собственные папки и нарушает процесс обновления, поэтому частичная очистка оставляет после себя проблемы. Переустановите операционную систему, измените используемые на устройстве пароли и смело продолжайте работу.

Ваш следующий маленький шаг

Выберите одно из предложенных выше действий и внедрите его сегодня. Расскажите своей команде об этой атаке и покажите им, какие меры защиты вы добавляете от их имени. Попросите всех запомнить один надежный признак атаки — веб-адрес — и консультироваться с вами перед установкой чего-либо нового. Выполнение этих действий занимает минуты, а не дни, и каждое из них делает вашу организацию сегодня вечером безопаснее, чем она была утром. Выработайте привычку, поощряйте людей за то, что они спрашивают разрешения перед установкой, и продолжайте предупреждать.

Частые вопросы (FAQ)

Как распознать поддельный сайт для скачивания, прежде чем нажать на ссылку?

Обращайте внимание на веб-адрес, а не на дизайн страницы, потому что дизайн — это практически точная копия. Странные окончания кодов стран, названия брендов через дефис и незнакомые поддомены — распространенные признаки. Более эффективное решение — перестать полагаться на визуальный поиск. Приобретайте программное обеспечение из управляемого источника, например, из каталога самообслуживания или с официальной страницы поставщика, чтобы избежать поддельных результатов.

Почему изменение отпечатка файла имеет значение?

Многие инструменты безопасности идентифицируют вредоносные файлы по уникальному хеш-значению. Когда сервер создает новую копию вредоносного ПО для каждой загрузки, каждая жертва получает уникальный файл, поэтому блокировка на основе хеша никогда не получает широкого распространения. Вместо этого эту задачу выполняет обнаружение на основе поведения.

Насколько рискованно отключение службы обновления Windows?

Один взлом приводит к неограниченной уязвимости. Компьютер выглядит и работает нормально, но при этом не получает никаких обновлений, выпущенных с тех пор. Машины в таком состоянии предоставляют злоумышленникам надежный способ вернуться в систему спустя месяцы.

Обеспечивает ли Microsoft Defender защиту в этом случае?

Частично. Defender обнаружил эту кампанию и локализовал её в случаях, изученных Microsoft. Вредоносное ПО всё ещё пытается добавлять собственные папки исключений, используя права SYSTEM, поэтому защита зависит от включенной защиты от несанкционированного доступа, проверки изменений в исключениях и работы персонала без лишних прав администратора.

Это касается только компаний, работающих в Китае?

Сообщается, что это негативно сказывается на деятельности компаний в Китае и на пользователях, говорящих на китайском языке, поскольку поддельные страницы используют контент на китайском языке. Эта техника хорошо распространяется. Поддельные рекламные кампании, нацеленные на англоязычные бренды, появляются регулярно, и поведение после установки одинаково на любом компьютере с Windows.

А как насчет сотрудников, устанавливающих программное обеспечение дома на рабочий ноутбук?

Тот же совет, но с более доброжелательной подачей. Люди устанавливают личные инструменты на рабочие устройства, потому что пытаются выполнить какую-то задачу. Предоставьте им каталог самообслуживания для установки одобренных инструментов одним щелчком мыши, простой способ запроса дополнений и стандартную учетную запись без прав администратора. Рискованный обходной путь через поисковую систему исчезнет, и один случайный щелчок нанесет гораздо меньше вреда.

источники:

Новости о хакерах: Поддельные установщики программного обеспечения отключают Центр обновления Windows и ослабляют Microsoft Defender.

Защитите свой бизнес с CyberHoot сегодня!

Зарегистрироваться сейчас!

Последние блоги

Будьте в курсе последних новостей идеи безопасности

Узнавайте и делитесь последними тенденциями, советами и передовыми методами в области кибербезопасности, а также новыми угрозами, на которые следует обратить внимание.