Те завантаження "оновлення Windows 11 24H2" - шкідливе ПЗ, і антивірус його не ловить

Ось шахрайство, про яке варто знати ще до зустрічі з ним. Сайт, що зараз гуляє мережею, виглядає як офіційна сторінка підтримки Microsoft, пропонує «кумулятивне оновлення» для Windows 11 версії 24H2, а після натискання кнопки завантаження видає шкідливе ПЗ для крадіжки паролів. Malwarebytes виявила це цього місяця, і найтривожніше - наскільки добре воно ховається.

Фальшива сторінка розташована за адресою microsoft-update[.]support - достатньо схожою на справжню адресу Microsoft, щоб обдурити при швидкому погляді - і копіює вигляд Microsoft аж до вигаданого номера довідки KB і великої кнопки «Завантажити оновлення». Натисніть на неї - і ви отримаєте файл на 83 МБ під назвою «WindowsUpdate 1.0.0.msi», властивості якого навіть вказують автором «Microsoft». Запустіть його - і він тихо викрадає збережені паролі браузера, файли cookie, активні сеанси входу та дані Discord, а потім відправляє все це зловмисникам. Оскільки воно загорнуте в легітимний фреймворк установника, антивірус майже не реагує: на момент аналізу жоден з 69 рушіїв на VirusTotal не позначив основний файл.

Правило, яке вбереже вас, те саме, що перемагає шахрайство ClickFix: Windows ніколи не доставляє оновлення через сайт, який ви завантажуєте і запускаєте. Справжні оновлення приходять лише через Параметри → Оновлення Windows, всередині самої Windows. Якщо вебсторінка, лист чи реклама пропонують завантажити «оновлення» для Windows, закривайте їх - хай як офіційно вони виглядають.

Якщо такий фальшивий установник колись усе ж запуститься, перевірка безпеки в Tendvane шукає саме там, де ховаються такі викрадачі даних - непідписані програми, налаштовані на автозапуск з ваших папок AppData чи Temp, і розширення браузера, яких ви не впізнаєте, - тож ви зможете виявити й прибрати те, що залишилося.