Egy széles körben megbízhatónak tartott segédprogramot fordítanak a rá támaszkodó felhasználók ellen. A Cybersecurity News jelentése szerint a támadók az OpenSUpdater kártevőt hamis 7-Zip telepítőkbe rejtik, olyan rejtett betöltőket használva, amelyek a telepítés futása közben távoli szerverekkel lépnek kapcsolatba. Ez a trójai falóval fertőzött 7-Zip telepítő kártevőkampány emlékeztető arra, hogy a letöltött fájl ugyanolyan fontos, mint maga a program, amit megkapni vélünk.
A nyilvánosan elérhető részletek korlátozottak, ezért ez a bejegyzés ahhoz tartja magát, amit jelentettek, és a gyakorlati lépésekre összpontosít, amelyeket megtehetsz.
Hogyan juttatják el a hamis 7-Zip telepítők az OpenSUpdatert
A jelentett technika koncepciójában egyszerű. A támadók az OpenSUpdatert, egy kártevőcsaládot, olyan telepítőkbe csomagolják, amelyek 7-Zipként mutatják be magukat. Ezekben a telepítőkben egy rejtett betöltő található. A telepítés során ez a betöltő távoli szerverekhez kapcsolódik, és ez az a szakasz, ahol további rosszindulatú tevékenység kezdődhet.
Ez azért fontos, mert a telepítő a felhasználó szemszögéből normálisan nézhet ki és viselkedhet. Megjelenik egy telepítőablak, a folyamatjelző halad, és az áldozat egy rutinszerű szoftvertelepítést lát. A gyanús hálózati kapcsolatfelvétel a háttérben, láthatatlanul történik.
A 7-Zip kiválasztása nem véletlen. Ez egy népszerű, ingyenes fájltömörítő, amelyet gyakran keresnek az emberek, ami kényelmes álcázást biztosít. A támadók arra számítanak, hogy sok felhasználó egyszerűen rákeres a szoftver nevére, és kattint egy ígéretes találatra, ahelyett hogy egyenesen a hivatalos projekthonz menne.
A forrásul szolgáló cikk nem mondja meg, hogyan terjesztik a trójai falóval fertőzött telepítőket, ezért ezt itt nem találgatjuk.
Hogyan ismerhető fel a trójai falóval fertőzött szoftvertelepítő
Egyetlen ellenőrzés sem csalhatatlan, de több szokás jelentősen csökkenti a kockázatot.
- Ellenőrizd, honnan származik a fájl. Ha egy hirdetésen, egy nem ellenőrzött keresési találaton, egy fórumlinken vagy egy harmadik féltől származó tükörszerveren keresztül jutottál el a letöltéshez, kezeld gyanúsan. A megtévesztően hasonló domainek gyakori trükk, ezért olvasd el figyelmesen a címet.
- Figyelj a váratlan viselkedésre a telepítés során. Egy egyszerű tömörítőnek nem sokkal többre kellene képesnek lennie, mint fájlokat másolni és parancsikonokat létrehozni. A megmagyarázhatatlan hálózati tevékenység, a plusz felugró ablakok vagy a megjelenő további programok figyelmeztető jelek.
- Hasonlítsd össze a fájl adatait. A hivatalos projektek gyakran közzétesznek verziószámokat és ellenőrző összegeket. Ha a méret, a verzió vagy a hash nem egyezik a hivatalos oldalon szereplővel, ne futtasd a fájlt.
- Fordíts figyelmet a biztonsági figyelmeztetésekre. Ha a vírusirtód vagy a Windows beépített védelme megjelöl egy telepítőt, állj meg és vizsgáld ki, ahelyett hogy felülírnád a riasztást. Ne feledd, hogy az új kiadásokat alkalmanként tévesen is megjelölhetik, ezért következtetések levonása előtt ellenőrizd a hivatalos forráson keresztül.
- Vizsgáld meg a digitális aláírást. Windows alatt jobb gombbal kattinthatsz egy telepítőre, megnyithatod a tulajdonságait, és megnézheted a Digitális aláírások lapot. A hiányzó vagy ismeretlen aláíró olyan szoftveren, amelynek aláírtnak kellene lennie, kérdésre érdemes.
A tágabb tanulság az, hogy egy trójai falóval fertőzött telepítő a bizalmat használja ki, nem egy szoftverhibát. Ez a minta nagyon különböző fenyegetéseknél is megjelenik. Az Irán Telegram kémprogramja, amelyet az USA, az Egyesült Királyság és a holland ügynökségek jelentettek című tudósításunk bemutatja, hogyan lehet sikeres a rosszindulatú szoftver azáltal, hogy olyasminek tűnik, amit az emberek már használnak és biztonságosnak hisznek.
Hol segít a VPN és hol nem
A VPN-ek szinte minden adatvédelmi beszélgetésben szóba kerülnek, ezért érdemes pontosan meghatározni, mit tesznek itt.
A VPN titkosítja a forgalmat az eszközöd és a VPN-szerver között, és elrejti az IP-címedet az általad meglátogatott oldalak elől. Ez hasznos nyilvános Wi-Fi-n és bizonyos típusú nyomkövetés korlátozásában. Nem vizsgálja meg a letöltött fájlokat, és nem tudja, hogy egy telepítő valódi-e.
Ha egy rosszindulatú 7-Zip telepítőt VPN-en keresztül töltesz le, attól még rosszindulatú telepítőd lesz. Amint lefut a Windows gépeden, a rejtett betöltő továbbra is kapcsolatba léphet távoli szervereivel, mert az a kapcsolat egyszerűen a VPN-alagúton halad át, mint bármely más forgalom. Egyes biztonsági csomagok tartalmazhatnak olyan védelmi funkciókat, mint a kártékony oldalak blokkolása, de ez a VPN által nyújtott alapvető adatvédelmi szolgáltatástól elkülönülő funkció, és nem szabad feltételezni.
Tekints a VPN-re úgy, mint egy korlátozott rétegre. Védi az átvitel alatti adatokat és a magánszférád egy részét, de nem helyettesíti a körültekintő letöltést, a végpontvédelmet vagy a rendszerfrissítéseket.
Biztonságosabb módok Windows-szoftverek letöltésére és ellenőrzésére
Néhány rutin sokkal nehezebbé teszi, hogy egy ilyen jellegű támadás sikeres legyen ellened.
- Menj egyenesen a hivatalos projekthonz. Írd be magad a címet, vagy használj egy megbízható forrásból létrehozott könyvjelzőt, ahelyett hogy egy keresési találatra vagy hirdetésre támaszkodnál.
- Ellenőrizd, mielőtt futtatod. Ahol a projekt ellenőrző összegeket vagy aláírásokat tesz közzé, hasonlítsd össze azokat a letöltött fájllal.
- Fontold meg egy csomagkezelő használatát. Az olyan eszközök, mint a winget, válogatott tárolókból telepíthetnek szoftvert, ami csökkenti a megtévesztően hasonló oldalaknak való kitettséget.
- Tartsd aktívan és naprakészen a végpontvédelmet. A valós idejű vizsgálat elkaphatja az ismert rosszindulatú telepítőket, mielőtt lefutnának.
- Használj standard fiókot a napi munkához. Azok a telepítők, amelyek rendszergazdai jóváhagyást igényelnek, adnak egy pillanatot arra, hogy megkérdezd, van-e értelme a kérésnek.
- Először vizsgáld meg az ismeretlen fájlokat. Ha bizonytalan vagy, ellenőrizd a telepítőt egy jó hírű, több motoros vizsgálóval, mielőtt megnyitnád.
Mit jelent ez a számodra
Ha 7-Zipet használsz, nem kell pánikba esned, de érdemes megerősítened, hogyan szerezted be a példányodat. Ha a hivatalos projekthelytől eltérő helyről töltötted le, fontold meg az eltávolítását, futtass egy teljes biztonsági vizsgálatot, és telepítsd újra a legitim forrásból. Ha szokatlan hálózati tevékenységet, ismeretlen folyamatokat vagy biztonsági riasztásokat tapasztalsz egy telepítés után, kezeld az eszközt potenciálisan kompromittáltként, és fontold meg a fontos jelszavak megváltoztatását egy tiszta eszközről.
Szervezetek számára ez jó alkalom arra, hogy emlékeztessék a munkatársakat, hogy jóváhagyott csatornákon keresztül kérjenek szoftvert, ahelyett hogy segédprogramokat töltenének le saját maguk.
Kulcsfontosságú tanulságok
- A jelentett trójai falóval fertőzött 7-Zip telepítő kártevőkampány az OpenSUpdatert hamis telepítőkbe rejti, olyan betöltőkkel, amelyek a telepítés során távoli szerverekkel lépnek kapcsolatba.
- Szoftvert csak hivatalos projekthelyekről tölts le, és ellenőrizd a telepítőket, amikor ellenőrző összegek vagy aláírások elérhetők.
- A VPN védi a forgalmadat és az IP-címedet, de nem akadályozza meg, hogy egy rosszindulatú telepítő lefusson.
- Tartsd naprakészen a biztonsági eszközöket, és vizsgálj ki minden figyelmeztetést ahelyett hogy figyelmen kívül hagynád.
Ha többet szeretnél megtudni arról, hogyan él vissza a rosszindulatú szoftver a bizalommal, olvasd el a vpn.social tudósításait államilag támogatott kártevőkampányokról, kezdve az Irán Telegram kémprogramjáról szóló együttes figyelmeztetéssel. A tanulság átvihető: először ellenőrizd a forrást, és a védelem minden rétegét, beleértve a VPN-t is, csak a megoldás egy részének tekintsd.
