Pinapatay ng mga Pekeng Software Installer ang Windows Update

ika-8 ng Setyembre 2026 | Blog

May-akda : Katie Boquetti | Editoryal : Craig Taylor

Editoryal ni Craig Taylor:

Naaalala ko ang mga unang araw ng paghahanap. Dumating ang Dogpile , Ask Jeeves , AltaVista , at pagkatapos ay ang Google at binago ang lahat. Sa loob ng maraming taon, gumana lang ang isang paghahanap. Nagta-type ka ng tanong at pinagkakatiwalaan mo ang sagot malapit sa itaas.

Kamakailan lang ay nababawasan na ang tiwala na iyan. Ngayon, ang Google ay nagpapatong-patong ng tatlo, apat, o kahit limang vendor ads na mas mataas kaysa sa totoong resulta, at nahuhuli ko ang sarili ko na nilalaktawan ang buong gulo at tinatanong na lang ang paborito kong AI. Sabihin na nating nostalgia, pero nami-miss ko ang mga panahong mapagkakatiwalaan mo pa ang tuktok ng search page ng Google.

Ang artikulo sa ibaba ay isang paalala na ang kalat ay hindi ang pinakamasamang bagay na naghihintay sa itaas ng isang paghahanap sa Google. Ang mga kriminal ngayon ay gumagawa ng mga pekeng pahina ng vendor, kinokopya pababa sa logo at sa download button, upang magpadala ng malware sa iyong mga computer. Ang solusyon para dito ay may dalawang bahagi, isang luma at isang teknikal. Ang luma ay simple. Itigil ang pagtitiwala sa resulta ng paghahanap, kunin ang iyong software nang direkta mula sa opisyal na pahina ng vendor, at pasalamatan ang tao sa iyong koponan na humihinto upang magtanong bago mag-install. Pinoprotektahan ka ng teknikal na bahagi kapag ang isang nakagawian ay nalilinlang. Alisin ang pang-araw-araw na mga karapatan sa admin mula sa mga account ng iyong mga tao. Hinaharangan ng isang karaniwang user account ang karamihan sa malware na ito, dahil ang pag-atake ay nangangailangan ng mga karapatan sa admin upang patayin ang iyong mga depensa at i-disable ang iyong mga update. Ang mabubuting gawi ay nagpapanatili sa mapanganib na pag-click na bihira, at ang pinakamababang pribilehiyo ay tinitiyak na ang isang pagkakamali ay hindi magbibigay ng buong makina.

Ibahagi ito sa mga taong nagta-type pa rin ng pangalan ng brand sa search bar at nag-click sa unang resulta. Pasasalamatan ka nila para dito.

At tandaan: Tumawa. Matuto. at Magsaya!
Craig

Mga Link ng Malware ang Nangunguna sa Paghahanap

Naglathala ang Microsoft ng pananaliksik tungkol sa isang aktibong kampanya ng malware na may simpleng pag-setup. May isang taong naghanap ng sikat na software, nag-click sa isang resulta malapit sa itaas ng pahina, napunta sa isang pahinang kamukha ng totoong site ng vendor, at nagda-download ng installer. Tumatakbo ang file. Walang mukhang mali sa screen. Sa ilalim, papatayin ng installer ang Windows Update, idinaragdag ang mga pagbubukod ng Microsoft Defender, at magbubukas ng koneksyon pabalik sa attacker. Lahat ng ito ay masasamang resulta.

Maraming magandang balita rito. Karamihan sa mga security tool ay mahuhuli ang mga installer na ito bago pa man tumakbo. Kung may isa na makalusot, haharangan ng isang karaniwang user na walang karapatan bilang admin ang halos lahat ng sinusubukang gawin ng installer. At kapag alam ng iyong team kung saan makakakuha ng lehitimong software, hindi kailanman makakarating ang banta na ito sa iyong mga desktop.

Paano gumagana ang mga pekeng download site

Nagrehistro ang mga umaatake ng mga domain na malapit sa mga totoong pangalan ng brand gamit ang mga dulo ng country code tulad ng .com.cn at .hl.cn. Kinopya nila ang mga pahina ng vendor hanggang sa layout, logo, at malaking berdeng download button. Kabilang sa mga ginaya na brand ang mga web browser, PDF editor, ebook reader, mind mapping app, screen recorder, disk utilities, translation tool, at gaming hardware.

May isang detalye na nagpapahirap sa pagharang kaysa dati. Ang na-download na ZIP file ay nananatiling pareho ang pangalan sa bawat pagkakataon, habang ang mga nilalaman nito ay nagbabago sa bawat kahilingan. Ang bawat bisita ay tumatanggap ng bahagyang magkakaibang file, kaya ang mga security tool na naghahanap ng kilalang masamang fingerprint ng file ay walang tumutugma. Sa halip, ang pagtukoy ay dapat na nakatuon sa pag-uugali pagkatapos ng pag-install.

Ang mga kumpirmadong biktima ay nagtatrabaho sa pangangalagang pangkalusugan, pagmamanupaktura, paglalaro, teknolohiya, logistik, gobyerno, at edukasyon. May katamtamang kumpiyansa ang Microsoft na iniuugnay ang aktibidad sa isang grupong tinutukoy bilang Silver Fox, na kilala sa mga pekeng download page ng vendor ilang taon na ang nakalipas.

Ano ang mangyayari pagkatapos i-click ng isang tao ang "run"

Gumagawa ang installer ng sunod-sunod na tahimik na pagbabago sa computer.

Lumilikha ito ng mga naka-iskedyul na gawain na may mga pangalang kinokopya ang mga nakagawiang gawain sa pagpapanatili ng IT, kaya ang mabilis na pagtingin sa Task Scheduler ay walang ipinapakitang kakaiba.
Nagpapatakbo ito ng panandaliang gawain na may mga karapatan sa SYSTEM at gumagamit ng PowerShell upang magdagdag ng mga pagbubukod ng Microsoft Defender para sa sarili nitong mga folder.
Tinatanggal nito ang mga kopya ng volume shadow, na nag-aalis ng isang madaling landas pabalik sa isang gumaganang estado.
Sinusulat muli nito ang mga pahintulot sa folder gamit ang icacls, kaya hindi mabubura ng mga karaniwang user ang mga malisyosong file.
Pinapatigil at pinapagana nito ang mga serbisyo ng Windows Update, pinapalitan ang pangalan ng mga update file, at nililimas ang update cache.
Pagkatapos ay makikipag-ugnayan ito sa mga attacker server sa pamamagitan ng mga hindi pangkaraniwang network port.

Natukoy ng Microsoft Defender ang aktibidad at sinimulan ang awtomatikong pagpigil, kaya nanatiling hindi alam ang huling layunin ng kampanya.

Ang hakbang na nararapat sa iyong atensyon

Ang pagpatay sa Windows Update ang siyang nagdudulot ng pinakamalaking pangmatagalang pinsala sa listahang ito. Ang isang computer na naka-disable ang mga update ay patuloy na gumagana, patuloy na nagbubukas ng email, at patuloy na mukhang malusog sa paningin ng taong gumagamit nito. Bawat bagong security patch ay hindi na ginagamit. Pagkalipas ng ilang linggo, ang parehong computer ay nananatiling nakalantad sa mga depektong naayos na sa bawat iba pang desktop sa iyong opisina.

Ituring ang patch reporting bilang isang senyales ng seguridad, hindi bilang isang gawaing pang-IT housekeeping. Ang isang makinang tahimik sa iyong mga update report ay nararapat na masusing suriin.

Limang Mabilisang Hakbang sa Pagkilos para sa Depensa

Ang bawat hakbang sa ibaba ay nagbibigay sa iyo ng tatlong antas. Ang Good ay nagpapagalaw sa iyo ngayon nang may kaunti o walang gastos. Ang Better ay nagdaragdag ng mas malakas na proteksyon na may katamtamang pagsisikap. Ang Best ay nagbibigay sa iyo ng pinakamaraming proteksyon sa lahat, at nangangailangan ito ng mas maraming oras at pera upang makatayo at magpatuloy sa pagtakbo.

Alisin ang mga lokal na karapatan ng admin.
- mabutiAlisin ang local admin mula sa mga account na ginagamit ng mga tao buong araw, at bigyan ang mga kawani ng IT ng hiwalay na admin account para sa mga pag-install lamang. Walang gastos dito kundi isang pagbabago sa patakaran, at natatalo nito ang karamihan sa pinsala sa artikulong ito, dahil kailangan ng malware ang mga karapatan ng admin o SYSTEM upang i-disable ang Defender at Windows Update.
- Mas mabutiMagdagdag ng elevation batay sa pag-apruba sa pamamagitan ng iyong RMM o endpoint tool, para humiling ang isang user ng minsanang lift para sa isang lehitimong pag-install at aprubahan mo ito sa loob ng ilang segundo.
- PinakamagalingIlunsad ang buong pamamahala ng pribilehiyo sa bawat device, nang walang umiiral na mga karapatan bilang admin kahit saan. Ito ang pinakamalakas na bersyon, at nangangailangan ito ng pagpaplano at isang bayad na tool upang gumana nang maayos.
Kontrolin kung saan nagmumula ang iyong software.
- mabuti: Ipadala ang mga tao sa opisyal na pahina ng vendor para sa bawat tool at kumuha ng software direkta mula sa pinagmulan, nang hindi na kailangang maghanap ng search engine kung saan ginagawa ng mga pekeng site ang kanilang pinakamahusay na trabaho.
- Mas mabutiGumawa ng self-service catalog tulad ng Intune Company Portal, isang RMM software catalog, o Jamf sa Mac. Nakakapag-install ang mga tao ng mga aprubadong tool sa isang click lang at hindi na kailangang hawakan ang resulta ng paghahanap.
- PinakamagalingLumipat sa ganap na pinamamahalaang deployment, kung saan walang ini-install ang mga kawani nang mag-isa at ang bawat app ay dumarating sa pamamagitan ng IT. Ito ang pinakamalinis na kontrol, at ito ang pinakamagastos sa pag-setup at pag-aayos ng mga tauhan.
Kontrolin kung ano ang tumatakbo sa iyong mga computer.
- mabutiI-on ang Smart App Control sa Windows 11 at itakda ang Gatekeeper sa Mac na payagan lamang ang App Store at mga natukoy na developer. Parehong libre ang pagpapadala kasama ng operating system at pinipigilan ang maraming hindi kilalang installer bago pa man magbukas ang mga ito.
- Mas mabuti: Harangan ang mga programa mula sa pagkaubusan ng mga Download at pansamantalang folder, isang paboritong lugar para sa paglulunsad ng mga installer na ito.
- PinakamagalingI-deploy ang buong allowlisting ng application gamit ang mga tool tulad ng WDAC o AppLocker, kung saan tanging software na iyong inaaprubahan ang tumatakbo. Ito ang pinakamataas na depensa laban sa mga pekeng installer, at nangangailangan ito ng totoong oras upang mabuo at ma-tune kaya hindi kailanman nasisira ang pinagkakatiwalaang trabaho.
Salain ang web sa antas ng network.
- mabutiIturo ang iyong mga device sa isang libreng protective DNS service tulad ng Quad9, na humaharang sa mga kilalang malisyosong at magkamukhang domain bago magsimula ang pag-download.
- Mas mabutiLumipat sa isang serbisyo ng pagsala na may bagong rehistradong pagharang at pag-uulat ng domain, na siyang sasalo sa mga bagong istilong .com.cn na site na nahaharap sa daan-daang bilang ng mga umaatakeng ito.
- Pinakamagaling: Patakbuhin ang buong DNS at web filtering sa mga opisina at remote device gamit ang mga patakaran at pag-log kada grupo. Nagbibigay ito ng pinakamalawak na saklaw, at may dala itong gastos kada upuan at patuloy na pag-tune.
Ingatan at protektahan ang iyong mga depensa.
- mabutiI-on ang tamper protection sa Microsoft Defender. Hinaharangan ng libreng setting na ito ang mga hindi gustong pagbabago sa iyong proteksyon, kabilang ang mga exclusion folder na sinusubukang idagdag ng malware na ito.
- Mas mabutiSuriin ang pag-uulat ng patch bawat buwan gamit ang isang libre o murang tool at subaybayan ang mga makinang hindi natahimik, dahil ang isang tahimik na makina ay kadalasang nagpapahiwatig ng mga hindi pinaganang update.
- PinakamagalingMagdagdag ng EDR o pinamamahalaang serbisyo ng MDR na nagbabantay sa gawi sa halip na mga fingerprint ng file, ang maaasahang catch kapag ang bawat pag-download ay isang natatanging file. Ito ang pinakamalakas na detection, at may kasama itong buwanang gastos at pag-setup.

Magsimula sa Mabuti sa bawat linya ngayong linggo. Tatapusin mo ang araw nang mas ligtas kaysa sa iyong sinimulan, at bubuo ka tungo sa Mas Mabuti at Pinakamahusay ayon sa sarili mong timeline.

Mga palatandaang sulit suriin sa isang kahina-hinalang makina

Mga bagong naka-iskedyul na gawain na tumatakbo gamit ang mga karapatan sa SYSTEM at mga generic na pangalan ng maintenance.
Nagdadagdag ang mga utos ng PowerShell ng mga path ng pagbubukod ng Defender.
Huminto o hindi pinagana ang mga serbisyo ng Windows Update nang walang kahilingan sa pagbabago.
Mga ulat ng pagkawala ng mga device mula sa iyong patch.
Palabas na trapiko sa mga hindi pangkaraniwang port na may matataas na numero.

Kung ang isang makina ay nagpapakita ng mga palatandaang ito, ang muling pagtatayo ay mas mahusay kaysa sa paglilinis. Tinatanggal ng malware ang mga shadow copy, nilo-lock ang sarili nitong mga folder, at sinisira ang pag-update, kaya ang bahagyang paglilinis ay nag-iiwan ng mga problema. Muling i-image ang device, palitan ang mga password na ginamit dito, at magpatuloy nang may kumpiyansa.

Ang iyong susunod na maliit na hakbang

Pumili ng isang Magandang aksyon mula sa bawat hakbang sa itaas at ipatupad ito ngayon. Sabihin sa iyong koponan ang tungkol sa pag-atakeng ito, at ipaliwanag sa kanila ang mga proteksyong idinaragdag mo para sa kanila. Hilingin sa lahat na matutunan ang isang maaasahang paraan, ang web address, at makipag-ugnayan sa iyo bago mag-install ng anumang bago. Ang Magandang hakbang ay tumatagal ng ilang minuto, hindi hapon, at ang bawat isa ay nag-iiwan sa iyong organisasyon na mas ligtas ngayong gabi kaysa kaninang umaga. Buuin ang ugali, gantimpalaan ang mga tao sa pagtatanong bago mag-install, at patuloy na sumigaw.

Mga Madalas Itanong (FAQ)

Paano ko makikilala ang pekeng download site bago ko ito i-click?

Tingnan ang web address sa halip na ang disenyo ng pahina, dahil ang disenyo ay halos perpektong kopya. Ang mga kakaibang pagtatapos ng country code, mga pangalan ng brand na may gitling, at mga hindi pamilyar na subdomain ay karaniwang mga senyales. Ang mas mahusay na solusyon ay ang tumigil sa pag-asa sa mga mata lamang. Kumuha ng software mula sa isang pinamamahalaang mapagkukunan tulad ng self-service catalog o sa opisyal na pahina ng vendor, para hindi kailanman mapansin ang isang pekeng resulta.

Bakit mahalaga ang pagbabago ng fingerprint ng file?

Maraming security tool ang tumutukoy sa mga sirang file sa pamamagitan ng natatanging hash value. Kapag ang isang server ay bumuo ng bagong kopya ng malware para sa bawat download, ang bawat biktima ay makakakuha ng kakaibang file, kaya ang hash-based blocking ay hindi kailanman nakakakuha ng atensyon. Ang behavior-based detection ang siyang may kaakibat na responsibilidad.

Gaano kapanganib ang isang naka-disable na serbisyo ng Windows Update?

Ang isang kompromiso ay nauuwi sa open-ended exposure. Normal ang itsura at pakiramdam ng computer habang hindi nakikita ang bawat patch na inilabas mula noon. Ang mga makina sa ganitong estado ay nagbibigay sa mga umaatake ng maaasahang daan pabalik pagkalipas ng ilang buwan.

Pinoprotektahan ba ako ng Microsoft Defender dito?

Bahagyang nakita ng Defender ang kampanyang ito at nilagyan ito ng kontrol sa mga kasong pinag-aralan ng Microsoft. Sinusubukan pa rin ng malware na magdagdag ng sarili nitong mga folder ng pagbubukod gamit ang mga karapatan ng SYSTEM, kaya ang proteksyon ay nakasalalay sa pag-enable ng proteksyon laban sa pag-abuso, pagsusuri ng mga pagbabago sa pagbubukod, at pagtatrabaho ng mga kawani nang walang hindi kinakailangang mga karapatan ng administrator.

Ito ba ay isang alalahanin lamang para sa mga kumpanyang nagpapatakbo sa Tsina?

Ang mga naiulat na epekto ay nakasentro sa mga operasyon na nakabase sa Tsina at mga gumagamit na nagsasalita ng Tsino, dahil ang mga pekeng pahina ay gumagamit ng nilalaman sa wikang Tsino. Mabisa ang pamamaraang ito. Regular na lumalabas ang mga pekeng kampanya ng installer na nagta-target sa mga brand na gumagamit ng wikang Ingles, at ang gawi pagkatapos ng pag-install ay pareho ring gumagana sa anumang Windows computer.

Paano naman ang mga empleyadong nag-i-install ng software sa bahay gamit ang laptop sa trabaho?

Parehong payo, mas mainam na paghahatid. Nag-i-install ang mga tao ng mga personal na tool sa mga device sa trabaho dahil sinusubukan nilang matapos ang isang bagay. Bigyan sila ng self-service catalog para makapag-install ng mga aprubadong tool sa isang click lang, isang simpleng paraan para humiling ng mga karagdagan, at isang standard account na walang mga karapatan bilang admin. Nawawala ang mapanganib na paglihis sa search engine, at ang isang ligaw na pag-click ay nakakabawas ng pinsala.