ARTICLE · 1309568
黑客利用虚假软件下载秘密劫持 Windows 电脑并利用其资源牟利
黑客利用虚假软件下载秘密劫持 Windows 电脑并利用其资源牟利请点击上方蓝色的【#公众号信安社群#】微信公众号一键关注！ 
黑客正利用虚假软件下载悄悄将 Windows 电脑变成收入来源，安装共享网络带宽、运行计算任务或提供不需要的软件的程序。 该活动针对搜索破解商业软件、免费游戏、激活工具、插件和非官方应用程序的人群，将额外的安装隐藏在看似普通的安装过程中。 安装程序不仅交付一个负载，还可能在同一会话期间尝试多次安装。每个组件都成为利用设备盈利的独立机会。 这种做法反映了虚假软件安装活动中的更广泛问题，其中熟悉的安装界面可以隐藏用户从未知情批准的背景活动。 微软研究人员发现了这场不断演变的行动，并在 11 月 3 日的技术分析中记录了三个确认的安装分支。 这些软件包括 WorldProxyPool 代理软件、CharityEngine 和 BOINC 分布式计算组件，以及 Advanced Windows Manager 实用工具。 微软强调，未经用户知情同意，通过欺骗性捆绑安装合法软件可能会造成安全和隐私风险。 攻击始于有人启动了一个被宣传为游戏、破解应用、音频插件或实用工具的下载。 观察到的诱饵包括 Echo Client、FabFilter Total Bundle、Navicat Premium 破解版、Roblox 执行器和手机解锁工具。这些名称描述了该活动的伪装，而不是确凿证据表明真实产品被入侵。 安装程序通过 Inno Setup 风格的包装器启动临时进程，并开始编号的有效载荷阶段。 之前的报道关于 Inno Setup 的滥用显示了攻击者如何利用熟悉的安装框架隐藏额外执行。在此，包装器协调多个下游软件包，而不是简单地安装用户预期的应用程序。 该分发系统将这些软件包称为“推广活动”。它通过不断变化的互联网基础设施来选择有效载荷并报告安装结果，使用会话和联盟相关的值来连接事件。 关键在于，每个推广活动可以独立成功或失败。因此，某个组件被阻止并不能证明整个安装链停止了，或者计算机未受影响。 WorldProxyPool 提供带宽货币化分支，将第三方互联网流量通过受影响的设备进行路由。其安装会创建三个计划任务以 SYSTEM 身份运行：一个在启动时启动代理，另一个每五分钟运行一个隐藏的 PowerShell 监视程序，第三个每小时检查更新。 类似的虚假下载安装代理软件，说明了未经授权的网络共享为何需要与更常见的恶意软件威胁一样受到关注。 计算分支安装了 CharityEngine、BOINC 及支持组件，包括 VirtualBox。微软观察了计算工作负载、能力检查以及与 CharityEngine 基础设施的通信。 这是资源劫持，但报告并未证实加密货币挖矿。另外，工具分支通过相同的交付系统安装了 Advanced Windows Manager 和更新式软件，将捆绑包扩展到网络和计算资源滥用之外。 最强大的检测方法是将安装活动、出站请求、新软件和持久性变化联系起来，而不是依赖于单个文件名或域名。 微软指出回调域名经常轮换，但整体执行模式保持一致。分析师应检查完整的安装会话，因为报告请求可能发生在子有效载荷开始之后，或大约在同一时间。 防御者应检查意外的计划任务，特别是以 SYSTEM 身份运行的那些任务，并调查用户未有意安装的软件。 企业还可以评估减少攻击面的规则，这些规则会限制不受信任的可执行文件。这些控制措施针对了这里被利用的核心弱点：用户在不了解其安装的附加软件的情况下批准看似有用的下载。
