Et mye betrodd verktøy blir vendt mot dem som er avhengige av det. Ifølge en rapport fra Cybersecurity News skjuler angripere OpenSUpdater-skadevare inne i falske 7-Zip-installasjonsprogrammer, ved hjelp av skjulte lastere som kontakter eksterne servere mens installasjonen kjører. Denne kampanjen med trojaniserte 7-Zip-installasjonsprogrammer er en påminnelse om at filen du laster ned, betyr like mye som programmet du tror du får.

De offentlige detaljene er begrensede, så dette innlegget holder seg til det som er rapportert, og fokuserer på praktiske tiltak du kan gjøre.

Hvordan de falske 7-Zip-installasjonsprogrammene leverer OpenSUpdater

Den rapporterte teknikken er enkel i konseptet. Angripere pakker OpenSUpdater, en skadevarefamilie, inn i installasjonsprogrammer som utgir seg for å være 7-Zip. Inne i disse installasjonsprogrammene ligger en skjult laster. Under installasjonen kontakter denne lasteren eksterne servere, og det er i denne fasen ytterligere ondsinnet aktivitet kan begynne.

Dette er viktig fordi installasjonsprogrammet kan se ut og oppføre seg normalt fra brukerens synspunkt. Et installasjonsvindu vises, fremdriften går videre, og offeret ser det som virker som en rutinemessig programvareinstallasjon. Den mistenkelige nettverkskontakten skjer i bakgrunnen, utenfor syne.

Valget av 7-Zip er ikke tilfeldig. Det er et populært, gratis filarkivprogram, og folk søker ofte etter det, noe som gjør det til en praktisk forkledning. Angripere er avhengige av at mange brukere bare søker etter programvarenavnet og klikker på et lovende resultat, i stedet for å gå direkte til det offisielle prosjektnettstedet.

Kildeartikkelen sier ikke hvordan de trojaniserte installasjonsprogrammene distribueres, så vi vil ikke spekulere i det her.

Hvordan oppdage et trojanisert programvareinstallasjonsprogram

Ingen enkelt sjekk er idiotsikker, men flere vaner reduserer risikoen betraktelig.

  • Sjekk hvor filen kom fra. Hvis du kom til nedlastingen via en annonse, et søkeresultat du ikke verifiserte, en forumlenke eller et tredjepartsspeil, behandl det med mistanke. Forveksling av domener er et vanlig triks, så les adressen nøye.
  • Vær oppmerksom på uventet atferd under installasjonen. Et enkelt arkivprogram bør ikke trenge å gjøre mye mer enn å kopiere filer og opprette snarveier. Uforklarlig nettverksaktivitet, ekstra forespørsler eller ekstra programmer som dukker opp, er varseltegn.
  • Sammenlign fildetaljer. Offisielle prosjekter publiserer ofte versjonsnumre og sjekksummer. Hvis størrelsen, versjonen eller hashen ikke samsvarer med det det offisielle nettstedet oppgir, ikke kjør filen.
  • Vær oppmerksom på sikkerhetsvarsler. Hvis antivirusprogrammet ditt eller Windows' innebygde beskyttelse flagger et installasjonsprogram, stopp og undersøk i stedet for å overstyre varselet. Husk at nye utgivelser noen ganger kan bli feilflagget, så verifiser via den offisielle kilden før du trekker konklusjoner.
  • Gjennomgå den digitale signaturen. I Windows kan du høyreklikke på et installasjonsprogram, åpne egenskapene og se på fanen Digitale signaturer. En manglende eller ukjent signerer på programvare som burde være signert, er verdt å stille spørsmål ved.

Det overordnede poenget er at et trojanisert installasjonsprogram utnytter tillit, ikke en programvaresvakhet. Dette mønsteret dukker opp på tvers av svært forskjellige trusler. Vår dekning av iransk Telegram-spionprogramvare flagget av amerikanske, britiske og nederlandske myndigheter viser hvordan ondsinnet programvare kan lykkes ved å fremstå som noe folk allerede bruker og tror er trygt.

Hvor en VPN hjelper og hvor den ikke gjør det

VPN-er dukker opp i nesten enhver personvernsamtale, så det er verdt å være presis om hva de gjør her.

En VPN krypterer trafikken din mellom enheten din og VPN-serveren og skjuler IP-adressen din fra nettstedene du besøker. Det er nyttig på offentlig Wi-Fi og for å begrense visse typer sporing. Den inspiserer ikke filene du laster ned, og den vet ikke om et installasjonsprogram er ekte.

Hvis du laster ned et ondsinnet 7-Zip-installasjonsprogram over en VPN, har du fortsatt et ondsinnet installasjonsprogram. Når det kjører på Windows-maskinen din, kan den skjulte lasteren fortsatt kontakte sine eksterne servere, fordi den tilkoblingen bare reiser gjennom VPN-tunnelen som all annen trafikk. Noen sikkerhetspakker inkluderer beskyttelsesfunksjoner som blokkering av ondsinnede nettsteder, men det er en separat funksjon fra den grunnleggende personverntjenesten en VPN tilbyr, og det bør ikke antas.

Tenk på en VPN som ett begrenset lag. Den beskytter data under overføring og noe av personvernet ditt, men den er ikke en erstatning for forsiktig nedlasting, endepunktbeskyttelse eller systemoppdateringer.

Tryggere måter å laste ned og verifisere Windows-programvare på

Noen få rutiner gjør denne typen angrep mye vanskeligere å gjennomføre mot deg.

  1. Gå direkte til det offisielle prosjektnettstedet. Skriv inn adressen selv eller bruk et bokmerke du opprettet fra en pålitelig kilde, i stedet for å stole på et søkeresultat eller en annonse.
  2. Verifiser før du kjører. Der prosjektet publiserer sjekksummer eller signaturer, sammenlign dem med filen du lastet ned.
  3. Vurder en pakkebehandler. Verktøy som winget kan installere programvare fra kuraterte repositorier, noe som reduserer eksponeringen for forvekslingsnettsteder.
  4. Hold endepunktbeskyttelsen aktiv og oppdatert. Sanntidsskanning kan fange kjente ondsinnede installasjonsprogrammer før de kjører.
  5. Bruk en standardkonto for daglig arbeid. Installasjonsprogrammer som trenger administratorgodkjenning, gir deg et øyeblikk til å spørre om forespørselen gir mening.
  6. Skann ukjente filer først. Hvis du er usikker, sjekk installasjonsprogrammet med en anerkjent skanner med flere motorer før du åpner det.

Hva dette betyr for deg

Hvis du bruker 7-Zip, trenger du ikke å få panikk, men du bør bekrefte hvordan du fikk kopien din. Hvis du lastet den ned fra et annet sted enn det offisielle prosjektnettstedet, bør du vurdere å fjerne den, kjøre en full sikkerhetsskanning og installere på nytt fra den legitime kilden. Hvis du legger merke til uvanlig nettverksaktivitet, ukjente prosesser eller sikkerhetsvarsler etter en installasjon, behandle enheten som potensielt kompromittert og vurder å endre viktige passord fra en ren enhet.

For organisasjoner er dette et godt øyeblikk til å minne ansatte om å be om programvare gjennom godkjente kanaler i stedet for å laste ned verktøy på egen hånd.

Viktige punkter

  • Den rapporterte kampanjen med trojaniserte 7-Zip-installasjonsprogrammer skjuler OpenSUpdater i falske installasjonsprogrammer med lastere som kontakter eksterne servere under installasjonen.
  • Last ned programvare kun fra offisielle prosjektnettsteder, og verifiser installasjonsprogrammer når sjekksummer eller signaturer er tilgjengelige.
  • En VPN beskytter trafikken din og IP-adressen din, men den vil ikke stoppe et ondsinnet installasjonsprogram fra å kjøre.
  • Hold sikkerhetsverktøy oppdatert, og undersøk ethvert varsel i stedet for å avvise det.

For å forstå mer om hvordan ondsinnet programvare misbruker tillit, les vpn.socials dekning av statlig tilknyttede skadevarekampanjer, og start med den felles advarselen om Irans Telegram-spionprogramvare. Lærdommen overføres: verifiser kilden først, og behandle hvert beskyttelseslag, inkludert en VPN, som bare en del av svaret.