Lo sviluppatore di uno dei tool più famosi per Windows mette in guardia gli utenti, sono in circolo falsi installer infetti da malware.
Attenzione ai falsi installer di tool per Windows
Con una semplice ricerca sul web Bogdan_X autore di Wintoys, avrebbe scoperto oltre 70 finti domini che impersonano le app di famosi tool per Windows come Wintoys, PowerToys, WinUtil, CrystalDiskMark e EasyBCD. I siti apparentemente legittimi sono completamente anonimi e distribuiscono versioni leggittime degli applicativi, almeno all’inizio. Dopo aver costruito la fiducia degli utenti vengono distribuiti delle versione infette da malware. Dalle indagini fatte dopo la scoperta sembrerebbe che due app sarebbero già state compromesse Lively Wallpaper e SignalRGB sfruttando questa tecnica.
Gli attacchi sono già iniziati per almeno due app di Windows mentre scrivo, ma potrebbe trattarsi di un aggressore diverso, dato che non fanno parte dei 72 domini che ho individuato, il che suggerisce che più autori potrebbero utilizzare la stessa strategia.
Lively Wallpaper ha riscontrato un problema segnalato una settimana fa:
“Un sito di terze parti che si presentava come Lively Wallpaper ha distribuito un programma di installazione infetto da trojan che ha installato un servizio di accesso remoto ScreenConnect persistente e un software di condivisione della larghezza di banda.”
SignalRGB ha pubblicato un post su Reddit per avvertire i propri utenti di un problema simile:
“Abbiamo scoperto un sito web dannoso che si spaccia per SignalRGB utilizzando il dominio signalrgb.io. Questo sito falso sta distribuendo malware.”
L’autore ha anche segnalato i suoi sospetti all’host che ospita i siti anonimamente e ha provveduto a interrompere le attività dei domini che sono stati però già prontamente trasferiti ad un altro servizio.
Mi sembra che sia solo questione di tempo prima che accada la stessa cosa per le altre app presenti nell’elenco, dato che per alcune di esse i domini malevoli sono già emersi in cima alla lista. Ho segnalato l’operazione al registrar Epik, che ha interrotto i servizi per l’attaccante, costringendolo a trasferire tutti i 72 domini su un altro servizio.
Al momento non c’è nulla che si possa fare, tranne che essere estremamente vigili a quello si scarica, verificare l’attendibilità dei contenuti e segnalarli in caso di dubbi. Ecco alcuni consigli suggeriti per difendersi:
- Fai attenzione ai siti web da cui scarichi i file eseguibili
- Se stai utilizzando una delle app presenti nell’elenco, invia questo messaggio allo sviluppatore.
- Condividi e vota positivamente questo post per diffondere la consapevolezza, oppure lascia un commento se hai suggerimenti.
- Segnala l’attività illegale al registrar affinché possa interrompere il servizio del dominio.
- Il registrar è responsabile solo del dominio, non dei contenuti ospitati
- Ogni registrar ha un indirizzo email/modulo di contatto per le segnalazioni di abusi, che puoi trovare sul sito web del registrar; nel caso di Epik, si tratta dell’indirizzo email abuse@epik.com ; nel caso di Dynadot, si tratta di un modulo di contatto.
- Fornisci l’elenco completo dei domini, in modo che sappiano cosa cercare, dato che non si tratta di un caso isolato.
- Segnala i risultati della ricerca Google in modo che non vengano più visualizzati dagli altri utenti che utilizzano questo modulo
- Segnala l’attività illegale al fornitore di hosting in modo che provveda effettivamente alla rimozione del contenuto.
- puoi usare un verificatore di hosting per vedere chi lo ospita
- Trova un modulo di segnalazione abusi o un indirizzo email per segnalarli; per Cloudflare, il provider più comunemente visualizzato, si tratta di un modulo di contatto.
- A volte Cloudflare sembra essere il provider di hosting, ma in realtà è solo un proxy, il che significa un ulteriore livello di anonimizzazione: per il dominio che ha come target la mia app, Cloudflare mi ha informato che si tratta di psychznetworks.
Che ne pensate dell’accaduto? Diteci la vostra nei commenti.
Articolo di Windows Blog Italia
