Подразделение киберугроз Microsoft (Microsoft Threat Intelligence) обнаружило активную кампанию по распространению поддельных загрузок, нацеленную на пользователей, ищущих взломанные версии коммерческого программного обеспечения, бесплатные игры, инструменты активации, программные плагины и неофициальные утилиты. Кампания основана на использовании скомпрометированных установщиков, созданных на базе инструмента Inno Setup, для распространения различных специализированных вредоносных нагрузок с целью получения прибыли в рамках одного сеанса установки.
Механизм атаки и система исполнения
Кампания продвигается через цепочку атаки, состоящую из четырех основных этапов, начиная с использования поддельных приманок для загрузки. Пользователь запускает обманные установочные файлы различных игр и программ, что приводит к созданию временных установщиков в системных временных путях и вызову последовательных этапов цифрового исполнения.
После этапа инициализации временная программа установки связывается с ротационной инфраструктурой обратных вызовов, используя фиксированный шаблон запроса, содержащий специфические индикаторы кампании. Эти операции позволяют точно выбирать и координировать последующие нагрузки в рамках сеанса установки.
Пути эксплуатации и получения прибыли
Техническое расследование подтвердило наличие трех основных направлений получения прибыли после завершения установки, которые превращают зараженные устройства в материальные активы для злоумышленников:
- Эксплуатация прокси-сетей (WorldProxyPool): перенаправление интернет-трафика третьих лиц через целевое устройство с созданием запланированных задач с системными привилегиями для обеспечения непрерывной работы прокси и инструментов обновления.
- Эксплуатация вычислительных ресурсов (CharityEngine и BOINC): установка программного обеспечения для распределенных вычислений с целью использования мощностей процессоров и графических карт устройства для выполнения вычислительных операций без ведома владельца.
- Внедрение рекламного ПО (AdvancedWindowsManager): установка нежелательного сервисного и рекламного программного обеспечения в системные пути файлов и приложения пользователя.
Что это означает на практике для пользователей и организаций?
Эта кампания создает серьезные риски для безопасности и конфиденциальности, поскольку она полагается на скрытую установку программного обеспечения через обманные пакеты. Даже если одно из предложений не сработает во время сеанса установки, другие могут успешно выполниться независимо. Для организаций и пользователей противодействие этой угрозе требует полного отказа от использования ненадежных источников программного обеспечения, активации расширенных инструментов защиты в операционных системах и мониторинга необычных процессов и новых запланированных задач.
Меры профилактики и обнаружения
Microsoft рекомендует принять строгие профилактические меры, включая активацию облачной защиты и защиты на основе репутации в антивирусном программном обеспечении, а также регулярную проверку установленного ПО на наличие любых нежелательных приложений, таких как прокси-инструменты или программное обеспечение для распределенных вычислений. Компания также предоставила расширенные запросы для поиска угроз и правила для обнаружения подозрительных соединений, связанных с доменами кампании и ее инфраструктурой.