Um utilitário amplamente confiável está sendo usado contra as pessoas que dependem dele. De acordo com um relatório do Cybersecurity News, atacantes estão escondendo o malware OpenSUpdater dentro de instaladores falsos do 7-Zip, usando carregadores ocultos que contatam servidores remotos enquanto a instalação está em execução. Esta campanha de malware com instaladores do 7-Zip trojanizados é um lembrete de que o arquivo que você baixa importa tanto quanto o programa que você pensa que está obtendo.

Os detalhes públicos são limitados, então este post se atém ao que foi reportado e foca em passos práticos que você pode tomar.

Como os instaladores falsos do 7-Zip entregam o OpenSUpdater

A técnica reportada é direta em conceito. Os atacantes empacotam o OpenSUpdater, uma família de malware, dentro de instaladores que se apresentam como 7-Zip. Dentro desses instaladores há um carregador oculto. Durante a instalação, esse carregador se comunica com servidores remotos, que é o estágio em que atividade maliciosa adicional pode começar.

Isso importa porque o instalador pode parecer e se comportar normalmente do ponto de vista do usuário. Uma janela de instalação aparece, o progresso avança, e a vítima vê o que parece ser uma instalação de software rotineira. O contato de rede suspeito acontece em segundo plano, fora de vista.

A escolha do 7-Zip não é aleatória. É um arquivador de arquivos popular e gratuito, e as pessoas o procuram com frequência, o que o torna um disfarce conveniente. Os atacantes contam com o fato de que muitos usuários simplesmente pesquisam o nome do software e clicam em um resultado promissor, em vez de ir direto ao site oficial do projeto.

O artigo de origem não diz como os instaladores trojanizados estão sendo distribuídos, então não vamos especular sobre isso aqui.

Como identificar um instalador de software trojanizado

Nenhuma verificação isolada é infalível, mas vários hábitos reduzem consideravelmente o seu risco.

  • Verifique de onde o arquivo veio. Se você chegou ao download por meio de um anúncio, um resultado de busca que você não verificou, um link de fórum ou um espelho de terceiros, trate-o com suspeita. Domínios parecidos são um truque comum, então leia o endereço com atenção.
  • Fique atento a comportamentos inesperados durante a instalação. Um simples arquivador não deveria precisar fazer muito mais do que copiar arquivos e criar atalhos. Atividade de rede inexplicada, prompts extras ou programas adicionais aparecendo são sinais de alerta.
  • Compare os detalhes do arquivo. Projetos oficiais frequentemente publicam números de versão e checksums. Se o tamanho, a versão ou o hash não corresponderem ao que o site oficial lista, não execute o arquivo.
  • Preste atenção aos avisos de segurança. Se o seu antivírus ou as proteções integradas do Windows sinalizarem um instalador, pare e investigue em vez de ignorar o alerta. Tenha em mente que novos lançamentos podem ocasionalmente ser sinalizados incorretamente, então verifique pela fonte oficial antes de tirar conclusões.
  • Revise a assinatura digital. No Windows, você pode clicar com o botão direito em um instalador, abrir suas propriedades e olhar a aba Assinaturas Digitais. Um assinante ausente ou desconhecido em um software que deveria ser assinado merece questionamento.

O ponto mais amplo é que um instalador trojanizado explora a confiança, não uma falha de software. Esse padrão aparece em ameaças bem diferentes. Nossa cobertura do spyware iraniano do Telegram sinalizado por agências dos EUA, Reino Unido e Holanda mostra como softwares maliciosos podem ter sucesso ao parecerem algo que as pessoas já usam e acreditam ser seguro.

Onde uma VPN ajuda e onde não ajuda

VPNs aparecem em quase toda conversa sobre privacidade, então vale ser preciso sobre o que elas fazem aqui.

Uma VPN criptografa seu tráfego entre o seu dispositivo e o servidor VPN e mascara seu endereço IP dos sites que você visita. Isso é útil em Wi-Fi público e para limitar alguns tipos de rastreamento. Ela não inspeciona os arquivos que você baixa e não sabe se um instalador é genuíno.

Se você baixar um instalador malicioso do 7-Zip por meio de uma VPN, você ainda terá um instalador malicioso. Assim que ele for executado na sua máquina Windows, o carregador oculto ainda poderá contatar seus servidores remotos, porque essa conexão simplesmente trafega pelo túnel VPN como qualquer outro tráfego. Alguns pacotes de segurança incluem recursos de proteção, como bloqueio de sites maliciosos, mas essa é uma função separada do serviço de privacidade principal que uma VPN fornece, e isso não deve ser presumido.

Pense em uma VPN como uma camada limitada. Ela protege dados em trânsito e parte da sua privacidade, mas não substitui o download cuidadoso, a proteção de endpoint ou as atualizações do sistema.

Formas mais seguras de baixar e verificar softwares para Windows

Algumas rotinas tornam esse tipo de ataque muito mais difícil de ser executado contra você.

  1. Vá direto ao site oficial do projeto. Digite o endereço você mesmo ou use um favorito que você criou a partir de uma fonte confiável, em vez de depender de um resultado de busca ou de um anúncio.
  2. Verifique antes de executar. Quando o projeto publica checksums ou assinaturas, compare-os com o arquivo que você baixou.
  3. Considere um gerenciador de pacotes. Ferramentas como o winget podem instalar softwares de repositórios curados, o que reduz a exposição a sites parecidos.
  4. Mantenha a proteção de endpoint ativa e atualizada. A verificação em tempo real pode detectar instaladores maliciosos conhecidos antes que eles sejam executados.
  5. Use uma conta padrão para o trabalho diário. Instaladores que precisam de aprovação de administrador lhe dão um momento para perguntar se a solicitação faz sentido.
  6. Escaneie arquivos desconhecidos primeiro. Se você não tiver certeza, verifique o instalador com um scanner multimecanismo respeitável antes de abri-lo.

O que isso significa para você

Se você usa o 7-Zip, não precisa entrar em pânico, mas deve confirmar como obteve sua cópia. Se você o baixou de qualquer lugar que não seja o site oficial do projeto, considere removê-lo, executar uma verificação de segurança completa e reinstalar a partir da fonte legítima. Se você notar atividade de rede incomum, processos desconhecidos ou alertas de segurança após uma instalação, trate o dispositivo como potencialmente comprometido e considere alterar senhas importantes a partir de um dispositivo limpo.

Para organizações, este é um bom momento para lembrar os funcionários de solicitar softwares por canais aprovados, em vez de baixar utilitários por conta própria.

Principais conclusões

  • A campanha reportada de malware com instaladores do 7-Zip trojanizados esconde o OpenSUpdater em instaladores falsos com carregadores que contatam servidores remotos durante a instalação.
  • Baixe softwares apenas de sites oficiais de projetos e verifique os instaladores quando checksums ou assinaturas estiverem disponíveis.
  • Uma VPN protege seu tráfego e endereço IP, mas não impedirá que um instalador malicioso seja executado.
  • Mantenha as ferramentas de segurança atualizadas e investigue qualquer aviso em vez de descartá-lo.

Para entender mais sobre como softwares maliciosos abusam da confiança, leia a cobertura da vpn.social sobre campanhas de malware ligadas a Estados, começando pelo alerta conjunto sobre o spyware iraniano do Telegram. A lição se mantém: verifique a fonte primeiro e trate cada camada de proteção, incluindo uma VPN, como apenas parte da resposta.