Поддельные установщики превращают ПК в прокси и узлы распределённых вычислений
Изображение: OpenAI
Поддельные установщики взломанных программ и игр подключают компьютеры к прокси-сетям и распределённым вычислениям, сообщается в Microsoft Security Blog. За один запуск они могут поставить несколько программ для заработка на ресурсах устройства, зачастую без осознанного согласия пользователя.
Исследователи подтвердили три направления монетизации:
- WorldProxyPool пропускает через компьютер сторонний интернет-трафик и создаёт задания планировщика с правами SYSTEM для запуска агента, контроля его работы и обновлений;
- CharityEngine и BOINC подключают устройство к распределённым вычислениям;
- Advanced Windows Manager и Windows Manager устанавливаются как утилиты в рамках рекламной монетизации.
По оценке исследователей, эти продукты могут применяться легально. Риск для безопасности и конфиденциальности создаёт их скрытая установка через обманные пакеты без осознанного согласия пользователя.
Установщик отслеживает результат установки каждого компонента отдельно. Если один компонент заблокирован или не установился, остальные могут установиться успешно. Поэтому отдельное сообщение антивируса о блокировке ещё не означает, что весь пакет остановлен.
Для поиска следов исследователи советуют сопоставлять запуск файлов из временных каталогов Inno Setup %TEMP%\is-*.tmp\ с исходящими запросами, содержащими d=inno и r=offer_execution либо r=offer_execution_fail. Домены кампании часто меняются; совпадение только по домену служит поводом для проверки, но не подтверждает заражение.
