Een algemeen vertrouwd hulpprogramma wordt tegen de mensen die erop vertrouwen gebruikt. Volgens een rapport van Cybersecurity News verbergen aanvallers OpenSUpdater-malware in nep-7-Zip-installatieprogramma's, met behulp van verborgen loaders die contact opnemen met externe servers terwijl de installatie wordt uitgevoerd. Deze getrojaniseerde 7-Zip-installatieprogramma-malwarecampagne is een herinnering dat het bestand dat je downloadt net zo belangrijk is als het programma dat je denkt te krijgen.

De openbare details zijn beperkt, dus dit bericht houdt zich aan wat er is gerapporteerd en richt zich op praktische stappen die je kunt nemen.

Hoe de nep-7-Zip-installatieprogramma's OpenSUpdater leveren

De gerapporteerde techniek is in concept eenvoudig. Aanvallers verpakken OpenSUpdater, een malwarefamilie, in installatieprogramma's die zich voordoen als 7-Zip. Binnen die installatieprogramma's bevindt zich een verborgen loader. Tijdens de installatie neemt die loader contact op met externe servers, wat de fase is waarin aanvullende kwaadaardige activiteit kan beginnen.

Dit is belangrijk omdat het installatieprogramma er vanuit het oogpunt van de gebruiker normaal kan uitzien en zich normaal kan gedragen. Er verschijnt een installatievenster, de voortgang vordert en het slachtoffer ziet wat een routinematige software-installatie lijkt. Het verdachte netwerkcontact vindt op de achtergrond plaats, buiten het zicht.

De keuze voor 7-Zip is niet willekeurig. Het is een populair, gratis bestandsarchiveringsprogramma en mensen zoeken er vaak naar, wat het een handige vermomming maakt. Aanvallers vertrouwen op het feit dat veel gebruikers simpelweg de softwarenaam zoeken en op een veelbelovend resultaat klikken, in plaats van rechtstreeks naar de officiële projectsite te gaan.

Het bronartikel zegt niet hoe de getrojaniseerde installatieprogramma's worden verspreid, dus we zullen daar hier niet over speculeren.

Hoe je een getrojaniseerd software-installatieprogramma herkent

Geen enkele controle is waterdicht, maar verschillende gewoonten verminderen je risico aanzienlijk.

  • Controleer waar het bestand vandaan komt. Als je de download hebt bereikt via een advertentie, een zoekresultaat dat je niet hebt geverifieerd, een forumlink of een externe mirror, behandel het dan met argwaan. Lijkende domeinen zijn een veelvoorkomende truc, dus lees het adres zorgvuldig.
  • Let op onverwacht gedrag tijdens de installatie. Een eenvoudig archiveringsprogramma zou niet veel meer hoeven te doen dan bestanden kopiëren en snelkoppelingen maken. Onverklaarbare netwerkactiviteit, extra prompts of extra programma's die verschijnen zijn waarschuwingssignalen.
  • Vergelijk bestandsdetails. Officiële projecten publiceren vaak versienummers en checksums. Als de grootte, versie of hash niet overeenkomt met wat de officiële site vermeldt, voer het bestand dan niet uit.
  • Let op beveiligingswaarschuwingen. Als je antivirusprogramma of de ingebouwde bescherming van Windows een installatieprogramma markeert, pauzeer dan en onderzoek het in plaats van de waarschuwing te negeren. Houd er rekening mee dat nieuwe releases af en toe onterecht kunnen worden gemarkeerd, dus verifieer via de officiële bron voordat je conclusies trekt.
  • Controleer de digitale handtekening. In Windows kun je met de rechtermuisknop op een installatieprogramma klikken, de eigenschappen openen en het tabblad Digitale handtekeningen bekijken. Een ontbrekende of onbekende ondertekenaar bij software die ondertekend zou moeten zijn, is het vragen waard.

Het bredere punt is dat een getrojaniseerd installatieprogramma vertrouwen misbruikt, niet een softwarefout. Dat patroon komt voor bij zeer verschillende dreigingen. Onze berichtgeving over Iraanse Telegram-spyware gemarkeerd door Amerikaanse, Britse en Nederlandse instanties laat zien hoe kwaadaardige software kan slagen door te lijken op iets dat mensen al gebruiken en waarvan ze denken dat het veilig is.

Waar een VPN helpt en waar niet

VPN's komen in bijna elk privacygesprek ter sprake, dus het is de moeite waard om precies te zijn over wat ze hier doen.

Een VPN versleutelt je verkeer tussen je apparaat en de VPN-server en maskeert je IP-adres voor de sites die je bezoekt. Dat is nuttig op openbare wifi en voor het beperken van sommige soorten tracking. Het inspecteert de bestanden die je downloadt niet en het weet niet of een installatieprogramma authentiek is.

Als je een kwaadaardig 7-Zip-installatieprogramma via een VPN downloadt, heb je nog steeds een kwaadaardig installatieprogramma. Zodra het op je Windows-machine draait, kan de verborgen loader nog steeds contact opnemen met zijn externe servers, omdat die verbinding simpelweg door de VPN-tunnel reist zoals elk ander verkeer. Sommige beveiligingssuites bundelen beschermende functies zoals het blokkeren van kwaadaardige sites, maar dat is een aparte functie van de kernprivacydienst die een VPN biedt, en dat mag niet worden aangenomen.

Zie een VPN als één beperkte laag. Het beschermt gegevens tijdens transport en een deel van je privacy, maar het is geen vervanging voor zorgvuldig downloaden, endpointbeveiliging of systeemupdates.

Veiligere manieren om Windows-software te downloaden en verifiëren

Een paar routines maken dit soort aanvallen veel moeilijker om tegen je uit te voeren.

  1. Ga rechtstreeks naar de officiële projectsite. Typ het adres zelf of gebruik een bladwijzer die je hebt gemaakt vanaf een vertrouwde bron, in plaats van te vertrouwen op een zoekresultaat of een advertentie.
  2. Verifieer voordat je uitvoert. Waar het project checksums of handtekeningen publiceert, vergelijk deze dan met het bestand dat je hebt gedownload.
  3. Overweeg een pakketbeheerder. Tools zoals winget kunnen software installeren vanuit samengestelde repositories, wat de blootstelling aan lijkende sites vermindert.
  4. Houd endpointbeveiliging actief en bijgewerkt. Realtime scannen kan bekende kwaadaardige installatieprogramma's onderscheppen voordat ze worden uitgevoerd.
  5. Gebruik een standaardaccount voor dagelijks werk. Installatieprogramma's die beheerdersgoedkeuring nodig hebben, geven je een moment om je af te vragen of het verzoek zinvol is.
  6. Scan onbekende bestanden eerst. Als je het niet zeker weet, controleer het installatieprogramma dan met een gerenommeerde multi-engine-scanner voordat je het opent.

Wat dit voor jou betekent

Als je 7-Zip gebruikt, hoef je niet in paniek te raken, maar je moet wel bevestigen hoe je je kopie hebt verkregen. Als je het ergens anders vandaan hebt gedownload dan de officiële projectsite, overweeg dan om het te verwijderen, een volledige beveiligingsscan uit te voeren en opnieuw te installeren vanaf de legitieme bron. Als je ongebruikelijke netwerkactiviteit, onbekende processen of beveiligingswaarschuwingen opmerkt na een installatie, behandel het apparaat dan als mogelijk gecompromitteerd en overweeg belangrijke wachtwoorden te wijzigen vanaf een schoon apparaat.

Voor organisaties is dit een goed moment om personeel eraan te herinneren software via goedgekeurde kanalen aan te vragen in plaats van zelf hulpprogramma's te downloaden.

Belangrijkste punten

  • De gerapporteerde getrojaniseerde 7-Zip-installatieprogramma-malwarecampagne verbergt OpenSUpdater in nep-installatieprogramma's met loaders die tijdens de installatie contact opnemen met externe servers.
  • Download software alleen van officiële projectsites en verifieer installatieprogramma's wanneer checksums of handtekeningen beschikbaar zijn.
  • Een VPN beschermt je verkeer en IP-adres, maar het stopt een kwaadaardig installatieprogramma niet.
  • Houd beveiligingstools bijgewerkt en onderzoek elke waarschuwing in plaats van deze te negeren.

Om meer te begrijpen over hoe kwaadaardige software vertrouwen misbruikt, lees de berichtgeving van vpn.social over aan staten gelinkte malwarecampagnes, te beginnen met de gezamenlijke waarschuwing over Iraanse Telegram-spyware. De les blijft gelden: verifieer eerst de bron en behandel elke beschermingslaag, inclusief een VPN, als slechts een deel van het antwoord.