Die Microsoft Threat Intelligence Einheit hat eine aktive Kampagne mit gefälschten Downloads identifiziert, die sich gegen Nutzer richtet, die nach gecrackten Versionen kommerzieller Software, kostenlosen Spielen, Aktivierungstools, Software-Plugins oder inoffiziellen Hilfsmitteln suchen. Die Kampagne basiert auf der Verwendung kompromittierter Installer, die von dem Tool Inno Setup inspiriert sind, um während einer einzigen Installationssitzung mehrere spezialisierte Software-Payloads zur Gewinnmaximierung zu verteilen.
Angriffsmechanismus und Ausführungsmodell
Die Kampagne schreitet über eine Angriffskette voran, die aus vier Hauptphasen besteht und mit der Ausnutzung von gefälschten Download-Ködern beginnt. Der Benutzer führt täuschende Installationsdateien für verschiedene Spiele und Programme aus, was zur Erstellung temporärer Installer in den temporären Systempfaden und zum Aufruf sequenzieller digitaler Ausführungsphasen führt.
Nach der Initialisierungsphase kommuniziert der temporäre Installer mit einer rotierenden Callback-Infrastruktur unter Verwendung eines festen Abfragemusters, das spezifische Kampagnenindikatoren enthält. Diese Prozesse ermöglichen die Auswahl und präzise Koordination nachfolgender Payloads innerhalb der Installationssitzung.
Ausnutzungspfade und Monetarisierung
Die technische Untersuchung bestätigte das Vorhandensein von drei Hauptzweigen zur Gewinnmaximierung nach Abschluss der Installation, welche die betroffenen Geräte in physische Vermögenswerte für die Angreifer verwandeln:
- Ausnutzung von Proxy-Netzwerken (WorldProxyPool): Umleitung des Internetverkehrs von Drittanbietern über das Zielgerät, wobei geplante Aufgaben mit Systemrechten erstellt werden, um die kontinuierliche Funktion des Proxys und der Update-Tools zu gewährleisten.
- Ausnutzung von Rechenressourcen (CharityEngine und BOINC): Installation von Distributed-Computing-Software, um die Kapazitäten der Prozessoren und Grafikkarten des Geräts für Rechenoperationen ohne das Wissen des Besitzers zu nutzen.
- Einschleusende Adware (AdvancedWindowsManager): Installation von unerwünschter Service- und Werbesoftware innerhalb von Systemdateipfaden und Benutzeranwendungen.
Was ändert sich praktisch für Nutzer und Organisationen?
Diese Kampagne stellt erhebliche Sicherheits- und Datenschutzrisiken dar, da sie auf der stillen Installation von Software über betrügerische Pakete basiert. Selbst wenn ein Angebot während der Installationssitzung fehlschlägt, können andere Angebote unabhängig davon erfolgreich sein. Für Organisationen und Nutzer erfordert die Abwehr dieser Bedrohung das vollständige Vermeiden unzuverlässiger Softwarequellen, die Aktivierung fortschrittlicher Schutzwerkzeuge in Betriebssystemen sowie die Überwachung ungewöhnlicher Prozesse und neuer geplanter Aufgaben.
Präventions- und Erkennungsmaßnahmen
Microsoft empfiehlt strikte Präventivmaßnahmen, einschließlich der Aktivierung von Cloud-Schutz und Reputationsschutz in Antivirenprogrammen sowie der regelmäßigen Überprüfung des Softwarebestands auf unerwünschte Anwendungen wie Proxy-Tools oder Distributed-Computing-Software. Das Unternehmen hat zudem fortgeschrittene Abfragen zur Bedrohungssuche und Regeln zur Überwachung verdächtiger Verbindungen bereitgestellt, die mit den Domänen und der Infrastruktur der Kampagne in Verbindung stehen.