ยูทิลิตี้ที่ได้รับความไว้วางใจอย่างกว้างขวางกำลังถูกนำมาใช้เป็นเครื่องมือโจมตีผู้ที่พึ่งพามัน จากรายงานของ Cybersecurity News ผู้โจมตีกำลังซ่อนมัลแวร์ OpenSUpdater ไว้ในตัวติดตั้ง 7-Zip ปลอม โดยใช้ตัวโหลดที่ซ่อนอยู่ซึ่งติดต่อกับเซิร์ฟเวอร์ระยะไกลขณะที่การติดตั้งกำลังทำงาน แคมเปญมัลแวร์ตัวติดตั้ง 7-Zip ที่ถูกฝังโทรจันนี้เป็นเครื่องเตือนใจว่าไฟล์ที่คุณดาวน์โหลดมีความสำคัญพอ ๆ กับโปรแกรมที่คุณคิดว่าคุณกำลังจะได้รับ

รายละเอียดสาธารณะมีจำกัด ดังนั้นบทความนี้จึงยึดตามสิ่งที่ได้รับการรายงานและมุ่งเน้นไปที่ขั้นตอนปฏิบัติที่คุณสามารถทำได้

ตัวติดตั้ง 7-Zip ปลอมส่งมอบ OpenSUpdater อย่างไร

เทคนิคที่รายงานมานั้นตรงไปตรงมาในเชิงแนวคิด ผู้โจมตีแพ็กเกจ OpenSUpdater ซึ่งเป็นตระกูลมัลแวร์ ไว้ในตัวติดตั้งที่นำเสนอตัวเองเป็น 7-Zip ภายในตัวติดตั้งเหล่านั้นมีตัวโหลดที่ซ่อนอยู่ ขณะติดตั้ง ตัวโหลดนั้นจะติดต่อกับเซิร์ฟเวอร์ระยะไกล ซึ่งเป็นขั้นตอนที่กิจกรรมอันเป็นอันตรายเพิ่มเติมสามารถเริ่มต้นได้

เรื่องนี้สำคัญเพราะตัวติดตั้งสามารถดูและทำงานได้ตามปกติจากมุมมองของผู้ใช้ หน้าต่างการติดตั้งปรากฏขึ้น แถบความคืบหน้าเคลื่อนไป และเหยื่อเห็นสิ่งที่ดูเหมือนเป็นการติดตั้งซอฟต์แวร์ตามปกติ การติดต่อเครือข่ายที่น่าสงสัยเกิดขึ้นเบื้องหลัง ลับสายตา

การเลือก 7-Zip ไม่ใช่เรื่องสุ่ม มันเป็นโปรแกรมบีบอัดไฟล์ฟรีที่ได้รับความนิยม และผู้คนค้นหามันบ่อย ซึ่งทำให้มันเป็นฉากบังหน้าที่สะดวก ผู้โจมตีพึ่งพาความจริงที่ว่าผู้ใช้จำนวนมากเพียงแค่ค้นหาชื่อซอฟต์แวร์แล้วคลิกผลลัพธ์ที่น่าดึงดูด แทนที่จะเข้าไปที่เว็บไซต์โครงการอย่างเป็นทางการโดยตรง

บทความต้นฉบับไม่ได้ระบุว่าตัวติดตั้งที่ถูกฝังโทรจันเหล่านี้ถูกกระจายอย่างไร ดังนั้นเราจะไม่คาดเดาในส่วนนี้

วิธีสังเกตตัวติดตั้งซอฟต์แวร์ที่ถูกฝังโทรจัน

ไม่มีการตรวจสอบใดที่ป้องกันได้ร้อยเปอร์เซ็นต์ แต่พฤติกรรมหลายอย่างช่วยลดความเสี่ยงของคุณได้อย่างมาก

  • ตรวจสอบว่าไฟล์มาจากไหน หากคุณเข้าถึงการดาวน์โหลดผ่านโฆษณา ผลการค้นหาที่คุณไม่ได้ตรวจสอบ ลิงก์ในฟอรัม หรือมิเรอร์ของบุคคลที่สาม ให้จัดการด้วยความสงสัย โดเมนที่คล้ายกันเป็นกลลวงที่พบบ่อย ดังนั้นอ่านที่อยู่อย่างระมัดระวัง
  • สังเกตพฤติกรรมที่ไม่คาดคิดระหว่างการติดตั้ง โปรแกรมบีบอัดไฟล์ธรรมดาไม่ควรต้องทำอะไรมากไปกว่าการคัดลอกไฟล์และสร้างทางลัด กิจกรรมเครือข่ายที่ไม่สามารถอธิบายได้ ข้อความแจ้งเพิ่มเติม หรือโปรแกรมเพิ่มเติมที่ปรากฏขึ้นเป็นสัญญาณเตือน
  • เปรียบเทียบรายละเอียดไฟล์ โครงการอย่างเป็นทางการมักเผยแพร่หมายเลขเวอร์ชันและเช็คซัม หากขนาด เวอร์ชัน หรือแฮชไม่ตรงกับที่เว็บไซต์อย่างเป็นทางการระบุไว้ อย่าเรียกใช้ไฟล์
  • ให้ความสนใจกับคำเตือนด้านความปลอดภัย หากโปรแกรมป้องกันไวรัสหรือระบบป้องกันในตัวของ Windows แจ้งเตือนตัวติดตั้ง ให้หยุดและตรวจสอบแทนที่จะเพิกเฉยคำเตือน โปรดจำไว้ว่าเวอร์ชันใหม่อาจถูกแจ้งเตือนผิดพลาดได้ในบางครั้ง ดังนั้นตรวจสอบผ่านแหล่งข้อมูลอย่างเป็นทางการก่อนสรุปผล
  • ตรวจสอบลายเซ็นดิจิทัล ใน Windows คุณสามารถคลิกขวาที่ตัวติดตั้ง เปิดคุณสมบัติ และดูลายเซ็นดิจิทัล แท็บลายเซ็น ผู้ลงนามที่หายไปหรือไม่คุ้นเคยบนซอฟต์แวร์ที่ควรมีลายเซ็นเป็นสิ่งที่ควรตั้งคำถาม

ประเด็นที่กว้างกว่านั้นคือตัวติดตั้งที่ถูกฝังโทรจันใช้ประโยชน์จากความไว้วางใจ ไม่ใช่ช่องโหว่ของซอฟต์แวร์ รูปแบบนี้ปรากฏให้เห็นในภัยคุกคามที่แตกต่างกันมาก บทความของเราเกี่ยวกับสปายแวร์ Telegram ของอิหร่านที่ถูกหน่วยงานสหรัฐฯ สหราชอาณาจักร และเนเธอร์แลนด์เตือน แสดงให้เห็นว่าซอฟต์แวร์อันตรายสามารถประสบความสำเร็จได้โดยการดูเหมือนเป็นสิ่งที่ผู้คนใช้อยู่แล้วและเชื่อว่าปลอดภัย

VPN ช่วยได้ตรงไหนและช่วยไม่ได้ตรงไหน

VPN ถูกพูดถึงในเกือบทุกบทสนทนาเกี่ยวกับความเป็นส่วนตัว ดังนั้นจึงควรชัดเจนว่ามันทำอะไรในบริบทนี้

VPN เข้ารหัสทราฟฟิกของคุณระหว่างอุปกรณ์และเซิร์ฟเวอร์ VPN และปกปิดที่อยู่ IP ของคุณจากเว็บไซต์ที่คุณเยี่ยมชม สิ่งนี้มีประโยชน์บน Wi-Fi สาธารณะและสำหรับจำกัดการติดตามบางประเภท มันไม่ได้ตรวจสอบไฟล์ที่คุณดาวน์โหลด และไม่รู้ว่าตัวติดตั้งเป็นของแท้หรือไม่

หากคุณดาวน์โหลดตัวติดตั้ง 7-Zip ที่เป็นอันตรายผ่าน VPN คุณยังคงมีตัวติดตั้งที่เป็นอันตราย เมื่อมันทำงานบนเครื่อง Windows ของคุณ ตัวโหลดที่ซ่อนอยู่ยังคงสามารถติดต่อเซิร์ฟเวอร์ระยะไกลได้ เพราะการเชื่อมต่อนั้นก็แค่เดินทางผ่านอุโมงค์ VPN เหมือนทราฟฟิกอื่น ๆ ชุดความปลอดภัยบางชุดมีฟีเจอร์ป้องกันเช่นการบล็อกไซต์อันตราย แต่เป็นฟังก์ชันที่แยกจากบริการความเป็นส่วนตัวหลักที่ VPN ให้ และไม่ควรสันนิษฐานว่ามี

คิดว่า VPN เป็นชั้นป้องกันหนึ่งชั้นที่จำกัด มันปกป้องข้อมูลระหว่างการส่งและความเป็นส่วนตัวบางส่วนของคุณ แต่ไม่ใช่สิ่งทดแทนการดาวน์โหลดอย่างระมัดระวัง การป้องกันปลายทาง หรือการอัปเดตระบบ

วิธีที่ปลอดภัยกว่าในการดาวน์โหลดและตรวจสอบซอฟต์แวร์ Windows

กิจวัตรสองสามอย่างทำให้การโจมตีแบบนี้ยากขึ้นมากที่จะเกิดขึ้นกับคุณ

  1. เข้าเว็บไซต์โครงการอย่างเป็นทางการโดยตรง พิมพ์ที่อยู่ด้วยตัวเองหรือใช้บุ๊กมาร์กที่คุณสร้างจากแหล่งที่เชื่อถือได้ แทนที่จะพึ่งพาผลการค้นหาหรือโฆษณา
  2. ตรวจสอบก่อนเรียกใช้ ในกรณีที่โครงการเผยแพร่เช็คซัมหรือลายเซ็น ให้เปรียบเทียบกับไฟล์ที่คุณดาวน์โหลด
  3. พิจารณาใช้ตัวจัดการแพ็กเกจ เครื่องมือเช่น winget สามารถติดตั้งซอฟต์แวร์จากคลังที่คัดสรร ซึ่งลดการเปิดรับเว็บไซต์ที่คล้ายกัน
  4. เปิดใช้งานและอัปเดตการป้องกันปลายทางอยู่เสมอ การสแกนแบบเรียลไทม์สามารถจับตัวติดตั้งที่เป็นอันตรายที่รู้จักก่อนที่มันจะทำงาน
  5. ใช้บัญชีมาตรฐานสำหรับงานประจำวัน ตัวติดตั้งที่ต้องการการอนุมัติจากผู้ดูแลระบบให้จังหวะคุณในการถามว่าคำขอนั้นสมเหตุสมผลหรือไม่
  6. สแกนไฟล์ที่ไม่คุ้นเคยก่อน หากคุณไม่แน่ใจ ตรวจสอบตัวติดตั้งด้วยเครื่องสแกนหลายเอนจินที่เชื่อถือได้ก่อนเปิด

สิ่งนี้หมายความสำหรับคุณ

หากคุณใช้ 7-Zip คุณไม่จำเป็นต้องตื่นตระหนก แต่คุณควรยืนยันว่าคุณได้รับสำเนามาอย่างไร หากคุณดาวน์โหลดจากที่อื่นที่ไม่ใช่เว็บไซต์โครงการอย่างเป็นทางการ พิจารณาลบออก รันการสแกนความปลอดภัยแบบเต็ม และติดตั้งใหม่จากแหล่งที่ถูกต้อง หากคุณสังเกตกิจกรรมเครือข่ายที่ผิดปกติ กระบวนการที่ไม่คุ้นเคย หรือการแจ้งเตือนด้านความปลอดภัยหลังการติดตั้ง ให้ถือว่าอุปกรณ์อาจถูกบุกรุกและพิจารณาเปลี่ยนรหัสผ่านสำคัญจากอุปกรณ์ที่สะอาด

สำหรับองค์กร นี่เป็นจังหวะที่ดีในการเตือนพนักงานให้ขอซอฟต์แวร์ผ่านช่องทางที่อนุมัติ แทนที่จะดาวน์โหลดยูทิลิตี้ด้วยตัวเอง

ประเด็นสำคัญ

  • แคมเปญมัลแวร์ตัวติดตั้ง 7-Zip ที่ถูกฝังโทรจันตามรายงานซ่อน OpenSUpdater ไว้ในตัวติดตั้งปลอมพร้อมตัวโหลดที่ติดต่อเซิร์ฟเวอร์ระยะไกลระหว่างการติดตั้ง
  • ดาวน์โหลดซอฟต์แวร์จากเว็บไซต์โครงการอย่างเป็นทางการเท่านั้น และตรวจสอบตัวติดตั้งเมื่อมีเช็คซัมหรือลายเซ็น
  • VPN ปกป้องทราฟฟิกและที่อยู่ IP ของคุณ แต่จะไม่หยุดตัวติดตั้งที่เป็นอันตรายจากการทำงาน
  • อัปเดตเครื่องมือความปลอดภัยอยู่เสมอ และตรวจสอบคำเตือนใด ๆ แทนที่จะเพิกเฉย

เพื่อทำความเข้าใจเพิ่มเติมเกี่ยวกับวิธีที่ซอฟต์แวร์อันตรายใช้ประโยชน์จากความไว้วางใจ อ่านบทความของ vpn.social เกี่ยวกับแคมเปญมัลแวร์ที่เชื่อมโยงกับรัฐ เริ่มจากคำเตือนร่วมเกี่ยวกับสปายแวร์ Telegram ของอิหร่าน บทเรียนยังคงใช้ได้: ตรวจสอบแหล่งที่มาก่อน และมองทุกระดับของการป้องกัน รวมถึง VPN เป็นเพียงส่วนหนึ่งของคำตอบ