Настільний застосунок, якого ніколи не існувало

Три з найбільших американських платформ нарахування зарплати та кадрового обліку мають спільну рису: жодна з них не випускає настільного застосунку для Windows. Хтось зібрав його для кожної.

Allure Security оприлюднила результати 24 вересня. Сторінки-приманки згенерували в Lovable, інструменті штучного інтелекту, який перетворює речення на вебсторінку, розмістили на Vercel за екраном перевірки на ботів, а кнопка завантаження вела на файл випуску в репозиторії GitHub. Один обліковий запис, один репозиторій на бренд, той самий інсталятор на 64 МБ, опублікований тричі під трьома різними назвами. Запускаєте його, і на екрані з'являється справжній інсталятор Microsoft .NET Runtime, а під ним як служба Windows встановлюється ConnectWise ScreenConnect, налаштований так, щоб жодна видима ознака не працювала: без банера, без піктограми в області сповіщень, без попередження, коли хтось підключається. Він переживає перезавантаження, стартує до входу будь-кого в систему і працює в безпечному режимі.

ScreenConnect це легальний продукт, яким справжні ІТ-відділи користуються щодня, і саме тому його й обрали. GitHub нарахував близько 291 завантаження, дослідників включно, і спочатку файл позначили лише 32 з 70 рушіїв сканування. Усе звітувало на єдиний ретранслятор у Німеччині. Allure відтоді домоглася видалення сторінок, домену та репозиторіїв.

Перевірка, яка це викриває, не потребує жодних технічних знань. Якщо служба, якою ви користувалися лише у браузері, раптом пропонує настільну версію, зайдіть на власний сайт компанії й подивіться, чи така версія взагалі існує. Зазвичай її немає. Як кажуть дослідники, завантаження, якого постачальник не пропонує, це не оновлення, це атака. Перевірка безпеки в Tendvane переглядає те, що встановлено та запущено на вашому ПК, і позначає засоби віддаленого доступу, яких ви туди не ставили.