Широко довірена утиліта використовується проти людей, які на неї покладаються. Згідно зі звітом Cybersecurity News, зловмисники приховують шкідливе програмне забезпечення OpenSUpdater у підроблених інсталяторах 7-Zip, використовуючи приховані завантажувачі, які звертаються до віддалених серверів під час встановлення. Ця кампанія з троянізованими інсталяторами 7-Zip є нагадуванням про те, що файл, який ви завантажуєте, має не менше значення, ніж програма, яку ви, на вашу думку, отримуєте.

Публічні подробиці обмежені, тому цей допис обмежується тим, про що було повідомлено, і зосереджується на практичних кроках, які ви можете вжити.

Як підроблені інсталятори 7-Zip доставляють OpenSUpdater

Повідомлена техніка концептуально проста. Зловмисники пакують OpenSUpdater, сімейство шкідливого програмного забезпечення, в інсталятори, які видають себе за 7-Zip. Усередині цих інсталяторів знаходиться прихований завантажувач. Під час встановлення цей завантажувач звертається до віддалених серверів — саме на цьому етапі може початися додаткова шкідлива активність.

Це важливо, тому що інсталятор може виглядати й поводитися нормально з точки зору користувача. З'являється вікно встановлення, прогрес просувається, і жертва бачить те, що виглядає як звичайне встановлення програмного забезпечення. Підозрілий мережевий контакт відбувається у фоновому режимі, поза полем зору.

Вибір 7-Zip не випадковий. Це популярний безкоштовний архіватор файлів, і люди часто його шукають, що робить його зручним прикриттям. Зловмисники розраховують на те, що багато користувачів просто шукають назву програмного забезпечення й натискають на перспективний результат, замість того щоб перейти безпосередньо на офіційний сайт проєкту.

У вихідній статті не вказано, як поширюються троянізовані інсталятори, тому ми не будемо тут це припускати.

Як розпізнати троянізований інсталятор програмного забезпечення

Жодна окрема перевірка не є абсолютно надійною, але кілька звичок значно знижують ваш ризик.

  • Перевірте, звідки надійшов файл. Якщо ви потрапили на завантаження через рекламу, результат пошуку, який ви не перевірили, посилання на форумі або стороннє дзеркало, ставтеся до нього з підозрою. Схожі домени — поширений трюк, тому уважно читайте адресу.
  • Звертайте увагу на неочікувану поведінку під час встановлення. Простий архіватор не повинен робити набагато більше, ніж копіювати файли та створювати ярлики. Непояснена мережева активність, додаткові запити або поява додаткових програм є попереджувальними знаками.
  • Порівняйте деталі файлу. Офіційні проєкти часто публікують номери версій і контрольні суми. Якщо розмір, версія або хеш не збігаються з тим, що вказано на офіційному сайті, не запускайте файл.
  • Звертайте увагу на попередження системи безпеки. Якщо ваш антивірус або вбудовані засоби захисту Windows позначають інсталятор, зупиніться та дослідіть, замість того щоб ігнорувати попередження. Майте на увазі, що нові випуски іноді можуть помилково позначатися, тому перевірте через офіційне джерело, перш ніж робити висновки.
  • Перегляньте цифровий підпис. У Windows ви можете клацнути правою кнопкою миші на інсталяторі, відкрити його властивості та подивитися вкладку «Цифрові підписи». Відсутній або незнайомий підписувач на програмному забезпеченні, яке повинно бути підписане, вартий уваги.

Ширший момент полягає в тому, що троянізований інсталятор експлуатує довіру, а не вразливість програмного забезпечення. Ця закономірність проявляється в дуже різних загрозах. Наше висвітлення іранського шпигунського програмного забезпечення в Telegram, про яке попередили США, Велика Британія та Нідерланди показує, як шкідливе програмне забезпечення може досягти успіху, видаючи себе за щось, чим люди вже користуються і вважають безпечним.

Де VPN допомагає, а де ні

VPN згадується майже в кожній розмові про приватність, тому варто бути точним щодо того, що вони роблять у цьому контексті.

VPN шифрує ваш трафік між вашим пристроєм і VPN-сервером та маскує вашу IP-адресу від сайтів, які ви відвідуєте. Це корисно в публічних мережах Wi-Fi і для обмеження деяких видів відстеження. Він не перевіряє файли, які ви завантажуєте, і не знає, чи є інсталятор справжнім.

Якщо ви завантажуєте шкідливий інсталятор 7-Zip через VPN, у вас все одно залишається шкідливий інсталятор. Після його запуску на вашій машині з Windows прихований завантажувач все ще може зв'язатися зі своїми віддаленими серверами, оскільки це з'єднання просто проходить через VPN-тунель, як і будь-який інший трафік. Деякі комплекти безпеки включають захисні функції, такі як блокування шкідливих сайтів, але це окрема функція від основної послуги приватності, яку надає VPN, і не слід цього припускати.

Сприймайте VPN як один обмежений рівень. Він захищає дані під час передачі та частину вашої приватності, але він не замінює обережне завантаження, захист кінцевих пристроїв або оновлення системи.

Безпечніші способи завантаження та перевірки програмного забезпечення для Windows

Кілька звичок роблять цей тип атаки набагато складнішим для здійснення проти вас.

  1. Переходьте безпосередньо на офіційний сайт проєкту. Введіть адресу самостійно або використовуйте закладку, створену з надійного джерела, замість того щоб покладатися на результат пошуку чи рекламу.
  2. Перевіряйте перед запуском. Там, де проєкт публікує контрольні суми або підписи, порівняйте їх із завантаженим файлом.
  3. Розгляньте менеджер пакетів. Такі інструменти, як winget, можуть встановлювати програмне забезпечення з перевірених репозиторіїв, що зменшує вплив схожих сайтів.
  4. Тримайте захист кінцевих пристроїв активним і оновленим. Сканування в реальному часі може виявити відомі шкідливі інсталятори до їх запуску.
  5. Використовуйте стандартний обліковий запис для щоденної роботи. Інсталятори, які потребують схвалення адміністратора, дають вам момент, щоб запитати, чи має сенс цей запит.
  6. Спочатку скануйте незнайомі файли. Якщо ви не впевнені, перевірте інсталятор за допомогою надійного багатодвижкового сканера, перш ніж відкривати його.

Що це означає для вас

Якщо ви користуєтеся 7-Zip, вам не потрібно панікувати, але слід підтвердити, як ви отримали свою копію. Якщо ви завантажили його з будь-якого місця, крім офіційного сайту проєкту, розгляньте можливість його видалення, запуску повного сканування безпеки та перевстановлення з легітимного джерела. Якщо ви помітили незвичайну мережеву активність, незнайомі процеси або попередження системи безпеки після встановлення, ставтеся до пристрою як до потенційно скомпрометованого та розгляньте можливість зміни важливих паролів із чистого пристрою.

Для організацій це гарний момент, щоб нагадати співробітникам запитувати програмне забезпечення через затверджені канали, а не завантажувати утиліти самостійно.

Ключові висновки

  • Повідомлена кампанія з троянізованими інсталяторами 7-Zip приховує OpenSUpdater у підроблених інсталяторах із завантажувачами, які звертаються до віддалених серверів під час встановлення.
  • Завантажуйте програмне забезпечення лише з офіційних сайтів проєктів і перевіряйте інсталятори, коли доступні контрольні суми або підписи.
  • VPN захищає ваш трафік та IP-адресу, але він не зупинить запуск шкідливого інсталятора.
  • Тримайте засоби безпеки оновленими та досліджуйте будь-яке попередження, а не відмахуйтеся від нього.

Щоб дізнатися більше про те, як шкідливе програмне забезпечення зловживає довірою, читайте висвітлення vpn.social кампаній шкідливого програмного забезпечення, пов'язаних з державами, починаючи з спільного попередження про іранське шпигунське програмне забезпечення в Telegram. Урок зберігається: спочатку перевірте джерело та ставтеся до кожного рівня захисту, включно з VPN, лише як до частини відповіді.