Microsoft Defender Experts urmărește o campanie activă care folosește site-uri contrafăcute pentru a imita paginile de descărcare ale unor produse cunoscute. Printre mărcile imitate se află Microsoft Edge, Kaspersky, Razer, Calibre, draw.io și alte utilitare. Utilizatorul crede că instalează un program legitim, dar arhiva pornește un lanț care asigură persistență, încearcă să slăbească protecțiile și comunică cu infrastructura atacatorului.
De ce verificarea vizuală nu mai este suficientă
Paginile foloseau identitatea vizuală a furnizorului și domenii care includeau numele produsului. Într-un caz, telemetria a surprins două arhive cu același nume, descărcate la aproximativ 69 de secunde distanță, dar cu conținut diferit. Microsoft consideră că payloadul era generat dinamic pentru fiecare solicitare. Asta reduce utilitatea unei verificări bazate exclusiv pe numele fișierului sau pe un singur hash.
Atacatorii au imitat inclusiv furnizori de securitate. Sigla, designul profesionist, HTTPS și prezența numelui „Kaspersky” ori „Microsoft” într-un domeniu nu confirmă proprietarul site-ului. Nici faptul că pagina apare într-o căutare nu o transformă în sursă oficială.
Regula organizației trebuie să fie mai simplă decât atacul
- Software-ul de serviciu se instalează din portalul intern, magazinul administrat sau linkul furnizat de IT într-un ticket verificabil.
- Utilizatorul nu caută la întâmplare drivere, browsere, utilitare PDF sau instrumente de conferință pentru o stație administrată.
- Dacă aplicația lipsește, se deschide o cerere; urgența nu justifică dezactivarea antivirusului ori instalarea cu drepturi administrative.
- IT verifică publisherul, semnătura, proveniența și versiunea înainte de a adăuga un pachet în catalog.
- Listele de permisiuni se bazează pe publisher și procese controlate, nu doar pe domenii sau numele fișierelor.
- Utilizatorii raportează pagina și fișierul fără să le redistribuie colegilor pentru „a vedea dacă funcționează”.
Ce observă help desk-ul și SOC-ul
Microsoft descrie fișiere lansate din directoare cu nume aleatorii, sarcini programate, încercări de modificare a excluderilor antivirus, ștergerea copiilor shadow și oprirea unor servicii de actualizare. Campania a folosit și activitate manuală după compromitere. Pentru apărători, comportamentul și relația dintre procese sunt mai stabile decât numele arhivei.
- Help desk-ul întreabă de unde a fost obținut fișierul, ce mesaj a precedat descărcarea și ce privilegii au fost acordate.
- SOC-ul corelează browserul, arhivatorul, instalatorul și procesele create ulterior, inclusiv tentativele de dezactivare a protecției.
- Endpoint team caută persistența și activitatea ulterioară; ștergerea arhivei descărcate nu este remediere completă.
- Identity team revocă sesiunile și rotește credențialele dintr-un sistem curat atunci când investigația indică acces la conturi.
- IT blochează infrastructura confirmată, dar nu transformă ASN-uri sau furnizori partajați în blocklist fără analiză, pentru a evita întreruperi nejustificate.
Micro-exercițiu: ai nevoie urgentă de un utilitar
- Scenariul 1 — un coleg are nevoie de un cititor PDF înaintea unei întâlniri și primul rezultat pare oficial. Care este canalul aprobat?
- Scenariul 2 — instalatorul cere dezactivarea temporară a protecției. Ce face utilizatorul și cui raportează?
- Scenariul 3 — după instalare apare o alertă, dar aplicația pare să funcționeze. De ce funcționalitatea nu dovedește că pachetul este sigur?
- Scenariul 4 — utilizatorul a introdus credențiale și a aprobat privilegii administrative. Ce informații transmite echipei de răspuns?
- Scenariul 5 — un coleg trimite aceeași arhivă pe chat pentru a ajuta echipa. Cum opriți propagarea fără să pierdeți dovezile?
Ce măsori după training
- Procentul angajaților care aleg catalogul software sau ticketul în locul unei căutări web.
- Timpul dintre alerta instalatorului și raportarea către help desk ori SOC.
- Procentul cererilor de software rezolvate suficient de repede încât utilizatorii să nu improvizeze.
- Numărul instalărilor neadministrate și al excepțiilor antivirus aprobate fără owner și expirare.
- Capacitatea echipei de a păstra URL-ul, fișierul și cronologia fără a executa ori redistribui payloadul.
Mesajul de awareness nu trebuie să fie „uită-te mai atent la site”. Atacatorii proiectează pagina tocmai pentru a trece această verificare. Comportamentul sigur este folosirea unui canal software administrat, verificarea independentă și raportarea rapidă atunci când procesul cere privilegii sau dezactivarea controalelor.