if ( !emtpy($headline_subheadline ) ) : ?>
Microsoft découvre une fausse campagne de téléchargement qui transforme des PC sans méfiance en nœuds proxy, en travailleurs d’informatique distribuée et en plateformes de logiciels publicitaires.
endif; ?>
Les utilisateurs à la recherche de logiciels commerciaux crackés, de jeux gratuits, de plugins et d’utilitaires non officiels pourraient s’inscrire pour plus qu’un téléchargement gratuit. Microsoft a observé une campagne en évolution qui utilise des installateurs de chevaux de Troie pour transformer les appareils Windows téléchargeurs en machines à gagner de l’argent, consommant leurs ressources informatiques et leur bande passante Internet sans consentement éclairé.
La campagne utilise de fausses pages de téléchargement et des installateurs de type Inno Setup pour fournir plusieurs packages logiciels au cours d’une seule session d’installation, a déclaré Microsoft dans un article de blog.
Il a été constaté que la campagne distribuait trois composants de monétisation, dont certains peuvent avoir des utilisations légitimes s’ils sont installés sciemment.
« Les organisations peuvent réduire leur exposition à cette activité en empêchant l’utilisation de sources logicielles non fiables, en permettant une protection des applications potentiellement indésirables et en surveillant les installations logicielles inattendues et les mécanismes de persistance », a déclaré la société, ajoutant que son Defender XDR détecte et bloque plusieurs charges utiles et comportements liés à la campagne.
De faux installateurs utilisés pour de l’argent réel
La campagne commence avec le téléchargement par les utilisateurs d’installateurs annoncés comme des logiciels piratés, des jeux, des activateurs, des plugins ou des utilitaires non officiels. Microsoft a observé des leurres se faisant passer pour des produits tels que les plugins audio Navicat Premium et FabFilter, aux côtés de téléchargements de jeux et d’utilitaires.
Les installateurs utilisent un wrapper de style Inno Setup pour organiser les exécutables temporaires dans les répertoires temporaires de Windows. Des charges utiles numérotées exécutent et coordonnent ensuite la livraison de logiciels supplémentaires.
Microsoft a déclaré que la campagne comporte un mécanisme de livraison basé sur l’offre. Le programme d’installation communique avec l’infrastructure tournante à l’aide de rappels HTTP contenant des paramètres tels que « d=inno » et « r=offer_execution ». Ces requêtes permettent à la campagne de suivre les offres logicielles individuelles, permettant ainsi à plusieurs charges utiles de réussir ou d’échouer indépendamment au sein de la même session d’installation.
La première branche de monétisation est WorldProxyPool, qui installe un proxyware pour acheminer le trafic Internet tiers via l’appareil de la victime. Il crée également des tâches planifiées au niveau du SYSTÈME pour le démarrage de l’agent, l’exécution du programme de surveillance et les mises à jour.
Une autre branche installe CharityEngine et Berkeley Open Infrastructure for Network Computing (BOINC), ainsi que des composants tels que VirtualBox, pour faciliter l’informatique distribuée.
Un troisième installe un logiciel de type utilitaire associé à Advanced Windows Manager et Windows Manager. Ces applications peuvent participer à la publicité, à la distribution de logiciels ou à la monétisation par les affiliés.
Microsoft exhorte les défenseurs à examiner les logiciels non officiels
Microsoft recommande d’empêcher les téléchargements à partir de sources non fiables, en particulier de logiciels piratés, de générateurs de clés, d’installateurs de jeux non officiels et d’outils d’activation.
Les organisations utilisant Microsoft Defender Antivirus doivent activer une protection fournie par le cloud, maintenir une protection contre les falsifications et configurer une protection basée sur la réputation pour bloquer les applications et les téléchargements non fiables, a déclaré la société. Il recommande également d’évaluer les règles de réduction de la surface d’attaque (ASR) qui restreignent les fichiers exécutables en fonction de critères de prévalence, d’âge ou de liste de confiance.
Pour la détection et l’investigation, il est conseillé aux organisations de vérifier l’exécution à partir des répertoires temporaires Inno, en particulier lorsque des fichiers tels que « eld*.exe, set_*.exe », « FirstFast(1).exe » ou « SecondRunner(1).exe » apparaissent.
Microsoft recommande également de corréler les requêtes sortantes contenant « d=inno » et « r=offer_execution » ou « r=offer_execution_fail » avec l’activité des processus, la création de tâches planifiées et les installations de logiciels.
Les installations inattendues de WorldProxyPool, CharityEngine, BOINC ou VirtualBox justifient une enquête, a-t-il déclaré.
Les clients de Defender XDR peuvent utiliser les requêtes de recherche avancées publiées par Microsoft pour identifier les activités associées, tandis qu’une liste d’indicateurs de compromission (IOC) a également été partagée pour aider les défenseurs en dehors de l’écosystème Microsoft.
