Przestępcy ukrywają się wewnątrz prawdziwej, podpisanej aplikacji, której Twój antywirus nie zakwestionuje

Większość złośliwego oprogramowania próbuje prześlizgnąć się obok antywirusa. Kampania, którą Malwarebytes opisał 11 sierpnia, robi coś sprytniejszego: instaluje program, który w ogóle nie jest złośliwym oprogramowaniem. Strony do pobierania podszywają się pod nazwy, którym ufasz - CNN, producenta antywirusa Avast, aplikację multimedialną Stremio - a plik, który podają, to O&O Syspectr, prawdziwe, cyfrowo podpisane narzędzie do zdalnego zarządzania, którego działy IT używają do obsługi komputerów na odległość. Ponieważ jest to legalne, podpisane oprogramowanie, antywirus przepuszcza je bez przeszkód.

Haczyk polega na tym, kto trzyma drugi koniec. Atakujący z góry rejestrują własne konta w Syspectr, więc w chwili, gdy ich kopia trafia na Twój komputer, po cichu łączy się z konsolą kontrolowaną przez nich - dając im zdalny dostęp do pulpitu i administracyjną linię poleceń na Twojej maszynie. Stamtąd mogą czytać Twoje pliki, instalować kolejne oprogramowanie i obserwować, co wpisujesz. Badacze śledzą tę sztuczkę przez cały rok: osobna kampania o nazwie SeasonalInvite, działająca od stycznia, nadużywała w ten sam sposób czterech takich narzędzi - ConnectWise ScreenConnect, LogMeIn Resolve, Kaseya i O&O Syspectr - właśnie dlatego, że ważnie podpisany instalator omija kontrole, które wychwytują zwykłe wirusy.

Obrona się nie zmieniła i to nawyk, który warto zachować: pobieraj oprogramowanie ze strony samego producenta, nie z wyniku wyszukiwania, reklamy ani linku przesłanego przez kogoś. Jeśli nigdy nie szukałeś narzędzia do zdalnego zarządzania, nie masz powodu, żeby je instalować - a jeśli program taki jak Syspectr pojawi się na Twoim komputerze niespodziewanie, usuń go i zmień hasła z maszyny, której ufasz.

To dokładnie ten martwy punkt, na który stworzono Tendvane. Jego Kontrola bezpieczeństwa wykrywa programy, które po cichu się zainstalowały lub ustawiły na uruchamianie przy starcie - w tym legalne, ale nieoczekiwane narzędzia, takie jak to - a aktualizacje aplikacji pochodzą z własnego menedżera pakietów Windows (winget), a nie z fałszywych stron do pobierania, na których opiera się to oszustwo.