Un utilitar în care mulți au încredere este folosit împotriva celor care se bazează pe el. Potrivit unui raport de la Cybersecurity News, atacatorii ascund malware-ul OpenSUpdater în instalatoare 7-Zip false, folosind loadere ascunse care contactează servere la distanță în timpul instalării. Această campanie de malware cu instalatoare 7-Zip trojanizate este o reamintire că fișierul pe care îl descarci contează la fel de mult ca programul pe care crezi că îl obții.

Detaliile publice sunt limitate, așa că această postare se rezumă la ceea ce a fost raportat și se concentrează pe pași practici pe care îi poți adopta.

Cum livrează instalatoarele 7-Zip false OpenSUpdater

Tehnica raportată este simplă în concept. Atacatorii împachetează OpenSUpdater, o familie de malware, în instalatoare care se prezintă drept 7-Zip. În interiorul acestor instalatoare se află un loader ascuns. În timpul configurării, acel loader contactează servere la distanță, ceea ce reprezintă etapa în care poate începe activitatea malițioasă suplimentară.

Acest lucru contează pentru că instalatorul poate părea și se poate comporta normal din punctul de vedere al utilizatorului. Apare o fereastră de configurare, progresul avansează, iar victima vede ceea ce pare a fi o instalare obișnuită de software. Conexiunea de rețea suspectă are loc în fundal, fără să fie văzută.

Alegerea 7-Zip nu este întâmplătoare. Este un arhivator de fișiere popular și gratuit, iar oamenii îl caută des, ceea ce îl face o deghizare convenabilă. Atacatorii se bazează pe faptul că mulți utilizatori pur și simplu caută numele software-ului și dau clic pe un rezultat promițător, în loc să meargă direct pe site-ul oficial al proiectului.

Articolul sursă nu precizează cum sunt distribuite instalatoarele trojanizate, așa că nu vom specula pe această temă aici.

Cum să identifici un instalator de software trojanizat

Nicio verificare individuală nu este infailibilă, dar câteva obiceiuri îți reduc considerabil riscul.

  • Verifică de unde provine fișierul. Dacă ai ajuns la descărcare printr-o reclamă, un rezultat de căutare pe care nu l-ai verificat, un link de pe forum sau o oglindă terță, tratează-l cu suspiciune. Domeniile care imită sunt un truc obișnuit, așa că citește cu atenție adresa.
  • Fii atent la comportamentul neașteptat în timpul configurării. Un arhivator simplu nu ar trebui să aibă nevoie să facă mult mai mult decât să copieze fișiere și să creeze scurtături. Activitatea de rețea inexplicabilă, solicitările suplimentare sau apariția unor programe suplimentare sunt semnale de avertizare.
  • Compară detaliile fișierului. Proiectele oficiale publică adesea numere de versiune și sume de control. Dacă dimensiunea, versiunea sau hash-ul nu corespund cu ceea ce listează site-ul oficial, nu rula fișierul.
  • Acordă atenție avertismentelor de securitate. Dacă antivirusul tău sau protecțiile integrate din Windows semnalează un instalator, oprește-te și investighează în loc să ignori alerta. Ține cont că versiunile noi pot fi ocazional semnalate incorect, așa că verifică prin sursa oficială înainte de a trage concluzii.
  • Examinează semnătura digitală. În Windows, poți face clic dreapta pe un instalator, deschide proprietățile acestuia și consulta fila Semnături digitale. Un semnatar lipsă sau necunoscut pentru un software care ar trebui să fie semnat merită pus sub semnul întrebării.

Ideea mai largă este că un instalator trojanizat exploatează încrederea, nu o vulnerabilitate de software. Acest tipar apare în amenințări foarte diferite. Materialul nostru despre spyware-ul iranian Telegram semnalat de agențiile din SUA, Regatul Unit și Țările de Jos arată cum software-ul malițios poate reuși prezentându-se drept ceva ce oamenii folosesc deja și cred că este sigur.

Unde ajută un VPN și unde nu

VPN-urile apar în aproape fiecare conversație despre confidențialitate, așa că merită să fim precisi cu privire la ceea ce fac aici.

Un VPN criptează traficul dintre dispozitivul tău și serverul VPN și îți maschează adresa IP față de site-urile pe care le vizitezi. Acest lucru este util pe Wi-Fi public și pentru limitarea anumitor tipuri de urmărire. Nu inspectează fișierele pe care le descarci și nu știe dacă un instalator este autentic.

Dacă descarci un instalator 7-Zip malițios printr-un VPN, tot ai un instalator malițios. Odată ce rulează pe mașina ta Windows, loaderul ascuns poate contacta în continuare serverele sale la distanță, pentru că acea conexiune pur și simplu călătorește prin tunelul VPN ca orice alt trafic. Unele suite de securitate includ funcții de protecție precum blocarea site-urilor malițioase, dar aceasta este o funcție separată de serviciul de confidențialitate de bază oferit de un VPN și nu trebuie presupusă.

Gândește-te la un VPN ca la un singur strat limitat. Protejează datele în tranzit și o parte din confidențialitatea ta, dar nu este un substitut pentru descărcarea atentă, protecția endpoint sau actualizările de sistem.

Modalități mai sigure de a descărca și verifica software Windows

Câteva rutine fac ca acest tip de atac să fie mult mai greu de executat împotriva ta.

  1. Mergi direct pe site-ul oficial al proiectului. Tastează adresa singur sau folosește un marcaj creat dintr-o sursă de încredere, în loc să te bazezi pe un rezultat de căutare sau pe o reclamă.
  2. Verifică înainte de a rula. Acolo unde proiectul publică sume de control sau semnături, compară-le cu fișierul pe care l-ai descărcat.
  3. Ia în considerare un manager de pachete. Instrumente precum winget pot instala software din depozite curate, ceea ce reduce expunerea la site-uri care imită.
  4. Menține protecția endpoint activă și actualizată. Scanarea în timp real poate prinde instalatoarele malițioase cunoscute înainte de a se executa.
  5. Folosește un cont standard pentru munca zilnică. Instalatoarele care necesită aprobarea administratorului îți oferă un moment să te întrebi dacă solicitarea are sens.
  6. Scanează mai întâi fișierele necunoscute. Dacă nu ești sigur, verifică instalatorul cu un scanner reputabil cu mai multe motoare înainte de a-l deschide.

Ce înseamnă asta pentru tine

Dacă folosești 7-Zip, nu trebuie să intri în panică, dar ar trebui să confirmi cum ai obținut copia ta. Dacă ai descărcat-o de oriunde altundeva decât de pe site-ul oficial al proiectului, ia în considerare să o elimini, să rulezi o scanare completă de securitate și să o reinstalezi din sursa legitimă. Dacă observi activitate de rețea neobișnuită, procese necunoscute sau alerte de securitate după o instalare, tratează dispozitivul ca potențial compromis și ia în considerare schimbarea parolelor importante de pe un dispozitiv curat.

Pentru organizații, acesta este un moment bun să reamintească angajaților să solicite software prin canale aprobate în loc să descarce utilitare pe cont propriu.

Concluzii cheie

  • Campania raportată de malware cu instalatoare 7-Zip trojanizate ascunde OpenSUpdater în instalatoare false cu loadere care contactează servere la distanță în timpul configurării.
  • Descarcă software doar de pe site-urile oficiale ale proiectelor și verifică instalatoarele atunci când sunt disponibile sume de control sau semnături.
  • Un VPN îți protejează traficul și adresa IP, dar nu va împiedica un instalator malițios să ruleze.
  • Menține instrumentele de securitate actualizate și investighează orice avertisment în loc să îl ignori.

Pentru a înțelege mai multe despre modul în care software-ul malițios abuzează de încredere, citește materialul vpn.social despre campaniile de malware legate de stat, începând cu avertismentul comun despre spyware-ul iranian Telegram. Lecția se repetă: verifică mai întâi sursa și tratează fiecare strat de protecție, inclusiv un VPN, ca fiind doar o parte a soluției.