Falošní inštalátori softvéru vypínajú službu Windows Update

Autor : Katie Boquetti | Redakcia : Craig Taylor

Editoriál Craiga Taylora:

Pamätám si začiatky vyhľadávania. Dogpile , Ask Jeeves , AltaVista a potom prišiel Google a všetko zmenil. Roky vyhľadávanie jednoducho fungovalo. Zadali ste otázku a dôverovali ste odpovedi na začiatku.

V poslednej dobe táto dôvera oslabla. Google teraz umiestňuje tri, štyri, dokonca päť reklám dodávateľov nad skutočné výsledky a ja sa pristihnem, ako celý ten neporiadok preskakujem a radšej sa pýtam svojej obľúbenej umelej inteligencie. Nazvime to nostalgiou, ale chýbajú mi časy, keď bolo miesto na vrchu vyhľadávacej stránky Googlu miestom, ktorému ste mohli dôverovať.

Nižšie uvedený článok pripomína, že neporiadok nie je to najhoršie, čo čaká na začiatku vyhľadávania Google. Zločinci teraz vytvárajú falošné stránky dodávateľov, skopírované až po logo a tlačidlo na stiahnutie, aby do vašich počítačov vtiahli malvér. Riešenie tohto problému sa skladá z dvoch častí, jednej staromódnej a jednej technickej. Tá staromódna časť je jednoduchá. Prestaňte dôverovať výsledkom vyhľadávania, získajte softvér priamo z oficiálnej stránky dodávateľa a poďakujte osobe vo vašom tíme, ktorá sa pred inštaláciou na chvíľu opýta. Technická časť vás chráni, keď sa vám stane zvyk. Odoberte bežné administrátorské práva z účtov vašich ľudí. Štandardný používateľský účet blokuje väčšinu tohto malvéru, pretože útok potrebuje administrátorské práva na vypnutie vašej obrany a zakázanie aktualizácií. Dobré návyky udržiavajú riskantné kliknutia zriedkavé a minimálne privilégiá zabezpečujú, že jedno prešľapnutie neprezradí celý stroj.

Zdieľajte toto s ľuďmi, ktorí stále zadávajú názov značky do vyhľadávacieho panela a klikajú na prvý výsledok. Budú vám za to ďakovať.

A pamätajte: Smejte sa. Učte sa. A vzrušujte!
Craig

---

Odkazy na malware sa dostali na vrchol vyhľadávania

Spoločnosť Microsoft publikovala výskum aktívnej kampane škodlivého softvéru s jednoduchým nastavením. Niekto vyhľadá populárny softvér, klikne na výsledok v hornej časti stránky, dostane sa na stránku, ktorá vyzerá presne ako skutočná stránka dodávateľa, a stiahne si inštalátor. Súbor sa spustí. Na obrazovke nevyzerá nič zle. Inštalátor pod ním vypne službu Windows Update, pridá vylúčenia programu Microsoft Defender a otvorí spätné pripojenie k útočníkovi. Všetky výsledky sú zlé.

Je tu veľa dobrých správ. Väčšina bezpečnostných nástrojov odhalí tieto inštalátory ešte pred ich spustením. Ak sa jeden z nich prešmykne, štandardný používateľ bez administrátorských práv zablokuje väčšinu toho, čo sa inštalátor snaží urobiť. A keď váš tím vie, kde získať legitímny softvér, táto hrozba sa k vašim počítačom nikdy nedostane.

Ako fungujú falošné stránky na sťahovanie

Útočníci zaregistrovali domény podobné skutočným značkám s koncovkami krajín, ako napríklad .com.cn a .hl.cn. Skopírovali stránky dodávateľov až po rozloženie, logo a veľké zelené tlačidlo na stiahnutie. Medzi napodobeniny značiek patrili webové prehliadače, editory PDF, čítačky elektronických kníh, aplikácie na mapovanie mysle, nahrávače obrazovky, diskové utility, prekladové nástroje a herný hardvér.

Jeden detail sťažuje blokovanie viac ako zvyčajne. Stiahnutý ZIP súbor si zachováva vždy rovnaký názov, zatiaľ čo jeho obsah sa mení s každou požiadavkou. Každý návštevník dostane mierne odlišný súbor, takže bezpečnostné nástroje hľadajúce známy odtlačok chybného súboru nemajú s čím sa zhodovať. Detekcia sa musí namiesto toho zamerať na správanie po inštalácii.

Potvrdené obete pracujú v zdravotníctve, výrobe, hernom priemysle, technológiách, logistike, vláde a vzdelávaní. Spoločnosť Microsoft s miernou istotou spája túto aktivitu so skupinou sledovanou ako Silver Fox, ktorá je známa falošnými stránkami na sťahovanie od dodávateľov, ktoré existujú už niekoľko rokov.

Čo sa stane po kliknutí na tlačidlo Spustiť

Inštalačný program vykoná v počítači sériu tichých zmien.

• Vytvára naplánované úlohy s názvami kopírujúcimi bežné práce údržby IT, takže rýchly pohľad na Plánovač úloh neukazuje nič nezvyčajné.
• Spúšťa krátkodobú úlohu s oprávneniami SYSTEM a používa PowerShell na pridanie vylúčení programu Microsoft Defender pre svoje vlastné priečinky.
• Odstraňuje tieňové kópie zväzku a odstraňuje jednu jednoduchú cestu späť do funkčného stavu.
• Prepisuje povolenia priečinkov pomocou icacls, takže bežní používatelia nemôžu odstrániť škodlivé súbory.
• Zastaví a zakáže služby Windows Update, premenuje súbory aktualizácií a vymaže vyrovnávaciu pamäť aktualizácií.
• Následne sa spojí s útočníkovými servermi cez nezvyčajné sieťové porty.

Program Microsoft Defender zistil aktivitu a spustil automatické obmedzenie, takže konečný cieľ kampane zostáva neznámy.

Krok, ktorý si zaslúži vašu pozornosť

Vypnutie služby Windows Update spôsobuje najväčšie dlhodobé škody v tomto zozname. Počítač so zakázanými aktualizáciami stále funguje, otvára e-maily a pre používateľa vyzerá zdravo. Každá nová bezpečnostná záplata tento počítač preskočí. O niekoľko týždňov neskôr je ten istý počítač vystavený chybám, ktoré už boli opravené, na každej inej pracovnej ploche vo vašej kancelárii.

Hlásenie záplat berte ako bezpečnostný signál, nie ako údržbársku prácu IT oddelenia. Počítač, ktorý v hláseniach o aktualizáciách stíchne, si zaslúži bližšiu pozornosť.

Päť rýchlych krokov k obranným opatreniam

Každý krok nižšie vám ponúka tri úrovne. Dobrá úroveň vás dnes rozhýbe s malými alebo žiadnymi nákladmi. Lepšia úroveň pridáva silnejšiu ochranu s miernym úsilím. Najlepšia úroveň vám poskytuje najväčšiu ochranu zo všetkých a vyžaduje si viac času a peňazí, aby ste sa postavili na nohy a pokračovali v behu.

1. Odoberte lokálne administrátorské práva.
   • dobrýOdstráňte lokálnych administrátorov z účtov, ktoré ľudia používajú celý deň, a poskytnite IT personálu samostatný administrátorský účet iba pre inštalácie. Toto nestojí nič iné ako zmenu pravidiel a eliminuje väčšinu škôd v tomto článku, pretože malvér potrebuje administrátorské alebo SYSTÉMOVÉ práva na deaktiváciu Defenderu a Windows Update.
   • LepšiePridajte zvýšenie oprávnení na základe schválenia prostredníctvom nástroja RMM alebo nástroja pre koncové body, aby používateľ požiadal o jednorazové zvýšenie oprávnení pre legitímnu inštaláciu a vy ho schválite v priebehu niekoľkých sekúnd.
   • najlepšíZaveďte úplnú správu privilégií na každom zariadení bez akýchkoľvek trvalých administrátorských práv kdekoľvek. Toto je najsilnejšia verzia a na jej správne fungovanie je potrebné plánovanie a platený nástroj.
2. Majte kontrolu nad pôvodom vášho softvéru.
   • dobrýPošlite ľudí na oficiálnu stránku dodávateľa každého nástroja a získajte softvér priamo od zdroja, čím sa vyhnete vyhľadávaču, kde falošné stránky odvádzajú najlepšiu prácu.
   • LepšieVytvorte si samoobslužný katalóg, ako napríklad Intune Company Portal, katalóg softvéru RMM alebo Jamf na Macu. Ľudia si nainštalujú schválené nástroje jedným kliknutím a nikdy sa nedotknú výsledku vyhľadávania.
   • najlepšíPrejdite na plne spravované nasadenie, kde si zamestnanci nič neinštalujú sami a každá aplikácia prichádza cez IT oddelenie. Toto je najčistejšia kontrola a zároveň je najnáročnejšia na nastavenie a personálne obsadenie.
3. Ovládajte, čo beží na vašich počítačoch.
   • dobrýZapnite funkciu Smart App Control v systéme Windows 11 a nastavte funkciu Gatekeeper v systéme Mac tak, aby povoľovala iba App Store a identifikovaných vývojárov. Obe funkcie sa dodávajú bezplatne s operačným systémom a zastavia mnoho neznámych inštalátorov ešte pred ich spustením.
   • LepšieBlokuje programy pred vyčerpaním priečinkov stiahnutých súborov a dočasných priečinkov, čo je obľúbené miesto spúšťania týchto inštalátorov.
   • najlepšíNasaďte úplný zoznam povolených aplikácií pomocou nástrojov ako WDAC alebo AppLocker, kde sa spustí iba softvér, ktorý schválite. Toto je najvyššia bariéra proti falošným inštalátorom a ich vytvorenie a ladenie si vyžaduje skutočný čas, aby sa dôveryhodná práca nikdy nepokazila.
4. Filtrujte web na úrovni siete.
   • dobrýNasmerujte svoje zariadenia na bezplatnú ochrannú službu DNS, ako je Quad9, ktorá blokuje známe škodlivé a podobné domény pred začatím sťahovania.
   • LepšiePrejdite na filtrovaciu službu s blokovaním a hlásením novo registrovaných domén, ktorá zachytáva nové stránky typu .com.cn, ktorým títo útočníci čelia po stovkách.
   • najlepšíSpúšťajte kompletné filtrovanie DNS a webu v kancelárii a na vzdialených zariadeniach s politikami a protokolovaním pre jednotlivé skupiny. Toto poskytuje najširšie pokrytie a so sebou nesie náklady na pracovnú stanicu a neustále ladenie.
5. Chráňte sa a strážte si svoju obranu.
   • dobrý: Zapnite ochranu pred neoprávnenými zásahmi v programe Microsoft Defender. Toto bezplatné nastavenie blokuje nechcené zmeny vo vašej ochrane vrátane priečinkov s vylúčeniami, ktoré sa tento malvér pokúša pridať.
   • LepšieKaždý mesiac si prezerajte hlásenia o opravách pomocou bezplatného alebo lacného nástroja a sledujte počítače, ktoré prestali fungovať, pretože tichý počítač často signalizuje vypnuté aktualizácie.
   • najlepšíPridajte službu EDR alebo spravovaného MDR, ktorá sleduje správanie namiesto odtlačkov súborov, spoľahlivý spôsob, ako je každé stiahnutie jedinečný súbor. Ide o najsilnejšiu detekciu a je spojená s mesačnými nákladmi a úsilím o nastavenie.

Začnite tento týždeň v každom riadku s Dobrou. Deň ukončíte bezpečnejšie, ako ste začali, a na svojej vlastnej časovej osi sa budete priblížiť k Lepšej a Najlepšej.

Znaky, ktoré sa oplatí skontrolovať na podozrivom stroji

• Nové naplánované úlohy spustené s oprávneniami SYSTEM a generickými názvami údržby.
• Príkazy PowerShellu pridávajúce cesty vylúčenia Defenderu.
• Služby Windows Update boli zastavené alebo deaktivované bez žiadosti o zmenu.
• Zariadenia miznú z vašich správ o opravách.
• Odchádzajúca prevádzka na nezvyčajne vysokých portoch.

Ak počítač vykazuje tieto príznaky, obnovenie systému je lepšie ako čistenie. Škodlivý softvér odstraňuje tieňové kópie, uzamyká vlastné priečinky a prerušuje aktualizácie, takže čiastočné čistenie zanecháva problémy. Zmeňte obraz zariadenia, zmeňte heslá, ktoré sa na ňom používajú, a pokračujte s istotou.

Váš ďalší malý krok

Vyberte si z každého vyššie uvedeného kroku jednu dobrú akciu a zaveďte ju ešte dnes. Povedzte svojmu tímu o tomto útoku a preveďte ich cez ochrany, ktoré za nich pridávate. Požiadajte všetkých, aby sa naučili jediný spoľahlivý signál – webovú adresu – a aby sa s vami poradili pred inštaláciou čohokoľvek nového. Dobré kroky trvajú len niekoľko minút, nie popoludnia, a každý z nich zanechá vašu organizáciu dnes večer bezpečnejšou ako dnes ráno. Vytvorte si zvyk, odmeňte ľudí za to, že sa pred inštaláciou opýtajú, a neustále im húkajte.

---

Často kladené otázky (FAQ)

Ako odhalím falošnú stránku na sťahovanie ešte pred kliknutím?

Pozrite sa skôr na webovú adresu než na dizajn stránky, pretože dizajn je takmer dokonalou kópiou. Bežnými znakmi sú zvláštne koncovky kódov krajín, názvy značiek s pomlčkou a neznáme subdomény. Silnejším riešením je prestať sa spoliehať na postrehy. Získajte softvér zo spravovaného zdroja, ako je samoobslužný katalóg alebo oficiálna stránka dodávateľa, aby sa nikdy neobjavil falošný výsledok.

Prečo je dôležitý meniaci sa odtlačok súboru?

Mnohé bezpečnostné nástroje identifikujú chybné súbory pomocou jedinečnej hodnoty hash. Keď server vytvorí novú kópiu malvéru pre každé stiahnutie, každá obeť dostane jedinečný súbor, takže blokovanie na základe hodnoty hash nikdy nezíska popularitu. Namiesto toho záťaž nesie detekcia založená na správaní.

Aké rizikové je vypnutá služba Windows Update?

Jeden kompromis sa zmení na neobmedzenú expozíciu. Počítač vyzerá a funguje normálne, no chýbajú mu všetky odvtedy vydané záplaty. Počítače v tomto stave poskytujú útočníkom spoľahlivú cestu späť o niekoľko mesiacov neskôr.

Chráni ma tu program Microsoft Defender?

Čiastočne. Defender túto kampaň odhalil a v prípadoch, ktoré spoločnosť Microsoft študovala, ju obmedzil. Malvér sa stále pokúša pridať vlastné priečinky s vylúčeniami pomocou SYSTÉMOVÝCH práv, takže ochrana závisí od zapnutej ochrany pred neoprávnenou manipuláciou, kontroly zmien vylúčení a od práce zamestnancov bez zbytočných administrátorských práv.

Týka sa to len spoločností pôsobiacich v Číne?

Hlásený dopad sa sústreďuje na prevádzky so sídlom v Číne a čínsky hovoriacich používateľov, pretože falošné stránky používajú čínsky obsah. Táto technika sa dobre šíri. Falošné inštalačné kampane zamerané na anglicky hovoriace značky sa objavujú pravidelne a správanie po inštalácii funguje rovnako na akomkoľvek počítači so systémom Windows.

A čo zamestnanci, ktorí si inštalujú softvér doma na pracovný notebook?

Rovnaká rada, len vrúcnejšie doručenie. Ľudia si inštalujú osobné nástroje na pracovné zariadenia, pretože sa snažia niečo urobiť. Dajte im samoobslužný katalóg na inštaláciu schválených nástrojov jedným kliknutím, jednoduchý spôsob, ako požiadať o pridanie, a štandardný účet bez administrátorských práv. Riziková obchádzka vyhľadávača zmizne a jedno zatúlané kliknutie spôsobí oveľa menšie škody.

---

Zdroje:

• Hackerské správy: Falošné inštalátory softvéru deaktivujú službu Windows Update a oslabujú službu Microsoft Defender

---

Zabezpečte si svoje podnikanie s CyberHoot ešte dnes!