虚假软件安装程序正在关闭 Windows 更新

8 年 2026 月 XNUMX 日 | 博客

作者：凯蒂·博奎蒂 |编辑：克雷格·泰勒

克雷格·泰勒的社论：

我还记得早期的搜索时代。Dogpile 、Ask Jeeves、AltaVista，然后谷歌出现，彻底改变了一切。多年来，搜索的方式很简单：你输入问题，然后相信排名靠前的答案。

最近，我对谷歌的信任度有所下降。现在，谷歌会在真正的搜索结果上方堆砌三四个，甚至五个广告商的广告，我发现自己干脆跳过这些乱七八糟的广告，直接去问我最喜欢的AI。或许是怀旧吧，但我怀念谷歌搜索结果页面顶部值得信赖的时代。

以下文章提醒您，在谷歌搜索结果顶部看到的并非最糟糕的东西——杂乱无章的内容。犯罪分子现在会创建虚假的供应商页面，甚至连徽标和下载按钮都照搬，以此来偷偷地将恶意软件植入您的电脑。解决这个问题的方法分为两部分：一部分是传统的，一部分是技术性的。传统的方法很简单：不要轻信搜索结果，直接从官方供应商页面下载软件，并感谢团队中那些在安装前会先询问您意见的人。技术性的方法则可以在您养成不良习惯时保护您。请暂时关闭员工账户的管理员权限。普通用户账户可以阻止大部分恶意软件的攻击，因为攻击者需要管理员权限才能关闭您的防御系统并禁用更新。良好的习惯可以减少您点击风险链接的次数，而最小权限原则则可以确保一次疏忽不会导致整个系统的安全漏洞暴露。

把这个分享给那些仍然习惯在搜索栏输入品牌名称并点击第一个搜索结果的人吧。他们会感谢你的。

记住：欢笑、学习、尽情欢呼！
克雷格

恶意软件链接登上搜索结果榜首

微软发布了一项关于恶意软件攻击活动的研究报告，该攻击手法简单易行。用户搜索热门软件，点击页面顶部附近的搜索结果，进入一个与官方软件网站外观完全相同的页面，并下载安装程序。文件运行后，屏幕上显示一切正常。然而，安装程序会在后台关闭 Windows 更新，将 Microsoft Defender 添加到排除列表中，并建立与攻击者的连接。最终导致严重的后果。

好消息不少。大多数安全工具都能在这些安装程序运行前将其拦截。即使有漏网之鱼，普通用户（没有管理员权限）也能阻止安装程序的大部分操作。而且，如果你的团队知道从哪里获取正版软件，这种威胁根本无法侵入你的桌面。

虚假下载网站的工作原理

攻击者注册了与真实品牌名称相近的域名，并使用了诸如 .com.cn 和 .hl.cn 之类的国家代码后缀。他们甚至连布局、徽标和醒目的绿色下载按钮都照搬了供应商的页面。被冒充的品牌包括网页浏览器、PDF 编辑器、电子书阅读器、思维导图应用、屏幕录制软件、磁盘工具、翻译工具和游戏硬件。

一个细节使得拦截比以往更加困难。下载的 ZIP 文件每次都使用相同的文件名，但其内容却会随着每次请求而改变。每个访问者收到的文件略有不同，因此安全工具无法匹配已知的恶意文件指纹。检测必须转而关注安装后的行为。

已确认的受害者来自医疗保健、制造业、游戏、科技、物流、政府和教育等行业。微软以中等置信度将此次活动与一个名为“银狐”（Silver Fox）的组织联系起来，该组织以创建虚假供应商下载页面而闻名，其活动可追溯至数年前。

点击“运行”后会发生什么？

安装程序会对计算机进行一系列静默更改。

它会创建名称与例行 IT 维护工作相同的计划任务，因此快速查看任务计划程序不会发现任何异常。
它以 SYSTEM 权限运行一个短暂的任务，并使用 PowerShell 为其自己的文件夹添加 Microsoft Defender 排除项。
它会删除卷影副本，从而消除恢复到正常工作状态的一个简单途径。
它使用 icacls 重写文件夹权限，因此普通用户无法删除恶意文件。
它会停止并禁用 Windows 更新服务，重命名更新文件，并清除更新缓存。
然后，它会通过非常规网络端口连接到攻击者服务器。

微软 Defender 检测到了该活动并启动了自动遏制措施，因此该活动的最终目标仍然未知。

值得您关注的步骤

关闭 Windows 更新是这份清单中危害最大的长期因素。一台关闭更新的电脑虽然可以继续运行，可以正常收发邮件，而且在用户看来一切正常。但所有新的安全补丁都会跳过这台电脑。几周后，这台电脑仍然会暴露在安全漏洞之下，而这些漏洞在办公室的其他电脑上早已修复。

将补丁报告视为安全信号，而非IT维护工作。如果一台机器的更新报告出现异常，则需要进行更深入的检查。

五项快速防御行动步骤

以下每个步骤都分为三个级别。“良好”级别让您今天就能开始行动，而且几乎不需要任何成本。“更好”级别只需稍加努力即可获得更强的保护。“最佳”级别为您提供最全面的保护，但需要花费更多的时间和金钱才能开始并持续运行。

移除本地管理员权限。
- 良好将用户日常使用的账户中的本地管理员权限移除，并为 IT 人员分配一个仅用于安装的独立管理员账户。这只需要更改一下策略，无需任何成本，而且可以消除本文中提到的大部分危害，因为恶意软件需要管理员或系统权限才能禁用 Windows Defender 和 Windows 更新。
- 更好：通过您的 RMM 或终端工具添加基于批准的权限提升，这样用户就可以为合法安装请求一次性提升权限，而您可以在几秒钟内批准它。
- 最棒的在所有设备上全面部署权限管理，任何地方都不允许保留管理员权限。这是最强大的版本，需要周密的规划和付费工具才能有效运行。
掌控软件来源。
- 良好：引导用户访问每个工具的官方供应商页面，直接从源头获取软件，跳过搜索引擎，因为虚假网站在那里最为活跃。
- 更好搭建一个类似 Intune 公司门户、RMM 软件目录或 Mac 版 Jamf 的自助服务目录。用户只需单击一下即可安装已批准的工具，无需进行任何搜索结果搜索。
- 最棒的转向完全托管部署，员工无需自行安装任何软件，所有应用程序均由 IT 部门提供。这种方式控制最清晰，但设置和人员配备成本最高。
掌控电脑上运行的程序。
- 良好在 Windows 11 上启用智能应用控制，并在 Mac 上将 Gatekeeper 设置为仅允许 App Store 和已识别的开发者安装应用。这两款软件都随操作系统免费提供，可以阻止许多未知安装程序打开。
- 更好阻止程序从下载文件夹和临时文件夹运行，这是这些安装程序最常用的启动位置。
- 最棒的使用 WDAC 或 AppLocker 等工具部署完整的应用程序白名单，确保只有您批准的软件才能运行。这是抵御虚假安装程序的最高屏障，但构建和调优需要花费大量时间，以确保受信任的工作不会中断。
在网络层过滤网页。
- 良好：将您的设备指向像 Quad9 这样的免费保护性 DNS 服务，该服务可以在下载开始之前阻止已知的恶意和相似的域名。
- 更好：改用具有新注册域名屏蔽和报告功能的过滤服务，该服务可以拦截攻击者成百上千建立的 .com.cn 风格的新网站。
- 最棒的：在办公室和远程设备上运行完整的 DNS 和 Web 过滤，并设置基于组的策略和日志记录。这种方式覆盖范围最广，但需要按席位付费，并且需要持续进行调优。
保护并严加防范你的防御工事。
- 良好启用 Microsoft Defender 的篡改保护功能。此免费设置可阻止对您的保护措施进行不必要的更改，包括恶意软件试图添加的排除文件夹。
- 更好：每月使用免费或低成本工具查看补丁报告，并跟进停止运行的机器，因为停止运行的机器通常表示更新已禁用。
- 最棒的添加 EDR 或托管 MDR 服务，通过监控行为而非文件指纹来检测，从而可靠地捕获每次下载都是独一无二的文件的情况。这是最强大的检测手段，但需要支付月费并进行设置。

本周每一项都从“良好”开始。这样，你每天结束时都会比开始时更安全，并按照自己的节奏逐步迈向“更好”和“最佳”。

可疑机器值得检查的迹象

新的计划任务以 SYSTEM 权限和通用维护名称运行。
使用 PowerShell 命令添加 Defender 排除路径。
Windows 更新服务在未收到更改请求的情况下停止或禁用。
设备从补丁报告中消失。
异常高编号端口的出站流量。

如果机器出现这些迹象，重装系统比清理系统更有效。恶意软件会删除卷影副本、锁定自身文件夹并阻止更新，因此部分清理会留下问题。重装系统，更改密码，然后就可以放心使用了。

你的下一个小步骤

从以上每个步骤中选择一个有效的应对措施，并立即实施。将此次攻击告知您的团队，并指导他们了解您为他们添加的防护措施。要求每个人记住一个可靠的识别方法——攻击网址，并在安装任何新软件之前先咨询您。这些有效的应对措施只需几分钟，而不是一下午，而且每一步都能让您的组织今晚比今天早上更安全。养成这种习惯，奖励那些在安装前咨询的人，并坚持不懈地努力。