Gefälschte Spiele- und Software-Downloads schleusen mehrere unerwünschte Programme auf Windows-PCs

Bestätigte Zweige und beobachtete Köder

Die Untersuchung Microsofts vom 3. November nennt drei bestätigte Zweige: das Proxyware-Programm WorldProxyPool, CharityEngine und die verteilte Rechensoftware BOINC sowie Dienstprogramme von Advanced Windows Manager.

Als Köder im Einsatz sind unter anderem Echo Client, das FabFilter Total Bundle, ein Crack für Navicat Premium, Deadpool Apunka Games, Command & Conquer: Red Alert 2 und TFT Unlock Tool. Die Masche zielt auf Menschen, die nach kostenpflichtiger Software-Cracks, Audio-Plugins, Spielen, Roblox-Executors, Auto-Clickern und Tools zum Entsperren von Handys suchen.

Wie eine Installation mehrere Angebote einschleust

Die Kette beginnt, sobald ein Nutzer ein Installationsprogramm startet. Statt einer einzelnen Nutzlast schiebt die Operation mehrere Software-Angebote durch eine einzige Installationssitzung und macht Bandbreite und Rechenleistung der Opfer zu Einnahmen. Eine einzige Echo-Client-Installation erreichte mehrere Monetarisierungszweige, was zeigt, dass ein Download mehrere unerwünschte Installationen auslösen kann.

Ein Wrapper im Stil von Inno Setup legt unter %TEMP%\is-*.tmp\ einen temporären Runner an und startet nummerierte Programme wie eld0.exe, eld3.exe und eld4.exe. Argumente wie /SL5, /SPAWNWND und /FIRSTWND helfen, die Abfolge zu erkennen, und die Zahl der Stufen unterscheidet sich von Sitzung zu Sitzung. Microsoft beobachtete zudem, dass Kindprozesse schon vor oder rund um die Ausführungs-Rückmeldungen starten.

Rückmeldungen, Fehlschläge und Erkennung

Temporäre Runner kontaktieren wechselnde Domains mit HTTP-Anfragen, die d=inno und r=offer_execution enthalten. Sitzungs-, Partner-, Angebots-, Download-Netzwerk- und Platzierungswerte stimmen die Auslieferung ab und protokollieren den Ausgang jeder Installation. Fehlgeschlagene Versuche erzeugen r=offer_execution_fail, teils zusammen mit Fehlermeldungen des Virenschutzes oder einer potenziell unerwünschten Software.

Jedes Angebot läuft unabhängig, sodass das Blockieren einer Nutzlast die anderen nicht zwingend stoppt. Microsoft weist darauf hin, dass diese Anfragen hilfreiche Korrelationsbelege liefern, Verteidiger aber nicht davon ausgehen sollten, dass sie den frühesten Punkt markieren, an dem sich die Installation verhindern ließe. Da die Infrastruktur oft wechselt, ist verhaltensbasierte Erkennung ein stärkerer Ansatz als die Suche nach einzelnen Domains. Ermittler sollten Rückruf-Parameter mit temporären Ausführungspfaden, Dateinamen der Stufen und zugehöriger Prozessaktivität abgleichen.

Risiken täuschender Installationen

Auch wenn diese Produkte oder Komponenten legitime Einsatzzwecke haben mögen, schaffen ihre täuschende Installation ohne informierte Einwilligung Sicherheits- und Datenschutzrisiken. Die Berichterstattung beschreibt außerdem einen Agenten, der beim Systemstart anläuft, einen verborgenen PowerShell-Wachhund, der alle fünf Minuten läuft, und einen Updater, der stündlich aktiv wird.

Offene Fragen

• Wie viele Opfer hat die Kampagne bislang getroffen?
• Werden die wechselnden Domains und Angebotsnetzwerke abgeschaltet?