Et bredt betroet værktøj bliver vendt mod de mennesker, der er afhængige af det. Ifølge en rapport fra Cybersecurity News skjuler angribere OpenSUpdater-malware inde i falske 7-Zip-installationsprogrammer ved hjælp af skjulte loadere, der kontakter fjernservere, mens installationen kører. Denne kampagne med trojaniserede 7-Zip-installationsprogrammer er en påmindelse om, at den fil, du downloader, betyder lige så meget som det program, du tror, du får.

De offentlige detaljer er begrænsede, så dette indlæg holder sig til det, der er blevet rapporteret, og fokuserer på praktiske skridt, du kan tage.

Sådan leverer de falske 7-Zip-installationsprogrammer OpenSUpdater

Den rapporterede teknik er ligetil i konceptet. Angribere pakker OpenSUpdater, en malwarefamilie, ind i installationsprogrammer, der fremstår som 7-Zip. Inde i disse installationsprogrammer sidder en skjult loader. Under installationen kontakter den loader fjernservere, hvilket er det stadie, hvor yderligere ondsindet aktivitet kan begynde.

Dette er vigtigt, fordi installationsprogrammet kan se ud og opføre sig normalt fra brugerens synspunkt. Et installationsvindue vises, fremdriften bevæger sig fremad, og offeret ser det, der ligner en rutinemæssig softwareinstallation. Den mistænkelige netværkskontakt sker i baggrunden, uden at det ses.

Valget af 7-Zip er ikke tilfældigt. Det er et populært, gratis filarkiveringsprogram, og folk søger ofte efter det, hvilket gør det til en bekvem forklædning. Angribere regner med, at mange brugere blot søger efter softwarenavnet og klikker på et lovende resultat i stedet for at gå direkte til det officielle projekts websted.

Kildeartiklen siger ikke, hvordan de trojaniserede installationsprogrammer distribueres, så vi vil ikke spekulere i det her.

Sådan spotter du et trojaniseret softwareinstallationsprogram

Ingen enkelt kontrol er idiotsikker, men flere vaner reducerer din risiko betydeligt.

  • Kontrollér, hvor filen kom fra. Hvis du nåede frem til downloadet via en annonce, et søgeresultat, du ikke har verificeret, et forumlink eller et tredjepartsspejl, så behandl det med mistanke. Forvekslingsdomæner er et almindeligt trick, så læs adressen omhyggeligt.
  • Vær opmærksom på uventet adfærd under installationen. Et simpelt arkiveringsprogram bør ikke skulle gøre meget mere end at kopiere filer og oprette genveje. Uforklarlig netværksaktivitet, ekstra prompts eller yderligere programmer, der dukker op, er advarselstegn.
  • Sammenlign fildetaljer. Officielle projekter offentliggør ofte versionsnumre og checksums. Hvis størrelsen, versionen eller hashværdien ikke matcher det, det officielle websted angiver, må du ikke køre filen.
  • Vær opmærksom på sikkerhedsadvarsler. Hvis dit antivirusprogram eller Windows' indbyggede beskyttelse markerer et installationsprogram, så stands og undersøg i stedet for at tilsidesætte advarslen. Husk, at nye udgivelser lejlighedsvis kan blive markeret forkert, så verificér via den officielle kilde, før du drager konklusioner.
  • Gennemgå den digitale signatur. I Windows kan du højreklikke på et installationsprogram, åbne dets egenskaber og se fanen Digitale signaturer. En manglende eller ukendt underskriver på software, der burde være signeret, er værd at sætte spørgsmålstegn ved.

Den bredere pointe er, at et trojaniseret installationsprogram udnytter tillid, ikke en softwarefejl. Det mønster vises på tværs af meget forskellige trusler. Vores dækning af iransk Telegram-spyware flagget af amerikanske, britiske og hollandske myndigheder viser, hvordan ondsindet software kan lykkes ved at fremstå som noget, folk allerede bruger og tror er sikkert.

Hvor en VPN hjælper, og hvor den ikke gør

VPN'er kommer op i næsten enhver samtale om privatliv, så det er værd at være præcis om, hvad de gør her.

En VPN krypterer din trafik mellem din enhed og VPN-serveren og maskerer din IP-adresse over for de websteder, du besøger. Det er nyttigt på offentligt Wi-Fi og til at begrænse visse former for sporing. Den inspicerer ikke de filer, du downloader, og den ved ikke, om et installationsprogram er ægte.

Hvis du downloader et ondsindet 7-Zip-installationsprogram over en VPN, har du stadig et ondsindet installationsprogram. Når det først kører på din Windows-maskine, kan den skjulte loader stadig kontakte sine fjernservere, fordi den forbindelse blot rejser gennem VPN-tunnelen som enhver anden trafik. Nogle sikkerhedspakker inkluderer beskyttelsesfunktioner som blokering af ondsindede websteder, men det er en separat funktion fra den kerneydelse om privatliv, en VPN leverer, og det bør ikke antages.

Tænk på en VPN som et begrænset lag. Den beskytter data under transmission og en del af dit privatliv, men den er ikke en erstatning for omhyggelig download, endpoint-beskyttelse eller systemopdateringer.

Sikrere måder at downloade og verificere Windows-software på

Nogle få rutiner gør denne type angreb meget sværere at gennemføre mod dig.

  1. Gå direkte til det officielle projekts websted. Skriv adressen selv, eller brug et bogmærke, du har oprettet fra en betroet kilde, i stedet for at stole på et søgeresultat eller en annonce.
  2. Verificér, før du kører. Hvor projektet offentliggør checksums eller signaturer, skal du sammenligne dem med den fil, du downloadede.
  3. Overvej en pakkehåndteringsprogram. Værktøjer som winget kan installere software fra kuraterede repositories, hvilket reducerer eksponeringen for forvekslingswebsteder.
  4. Hold endpoint-beskyttelse aktiv og opdateret. Realtidsscanning kan fange kendte ondsindede installationsprogrammer, før de udføres.
  5. Brug en standardkonto til dagligt arbejde. Installationsprogrammer, der kræver administratorgodkendelse, giver dig et øjeblik til at spørge, om anmodningen giver mening.
  6. Scan ukendte filer først. Hvis du er i tvivl, så tjek installationsprogrammet med en anerkendt multi-engine-scanner, før du åbner det.

Hvad dette betyder for dig

Hvis du bruger 7-Zip, behøver du ikke at gå i panik, men du bør bekræfte, hvordan du fik din kopi. Hvis du downloadede det fra et andet sted end det officielle projekts websted, bør du overveje at fjerne det, køre en fuld sikkerhedsscanning og geninstallere fra den legitime kilde. Hvis du bemærker usædvanlig netværksaktivitet, ukendte processer eller sikkerhedsadvarsler efter en installation, skal du behandle enheden som potentielt kompromitteret og overveje at ændre vigtige adgangskoder fra en ren enhed.

For organisationer er dette et godt øjeblik til at minde medarbejderne om at anmode om software gennem godkendte kanaler i stedet for selv at downloade værktøjer.

Vigtige pointer

  • Den rapporterede kampagne med trojaniserede 7-Zip-installationsprogrammer skjuler OpenSUpdater i falske installationsprogrammer med loadere, der kontakter fjernservere under installationen.
  • Download kun software fra officielle projekts websteder, og verificér installationsprogrammer, når checksums eller signaturer er tilgængelige.
  • En VPN beskytter din trafik og IP-adresse, men den stopper ikke et ondsindet installationsprogram i at køre.
  • Hold sikkerhedsværktøjer opdaterede, og undersøg enhver advarsel i stedet for at afvise den.

For at forstå mere om, hvordan ondsindet software misbruger tillid, kan du læse vpn.socials dækning af statsligt linkede malwarekampagner, begyndende med den fælles advarsel om Irans Telegram-spyware. Lektionen går igen: verificér kilden først, og behandl ethvert beskyttelseslag, inklusive en VPN, som kun en del af svaret.