Pobieranie instalatorów z nieoficjalnych źródeł od zawsze wiązało się z ryzykiem zainfekowania komputera. W końcu fałszywe wersje popularnego oprogramowania, cracki czy narzędzia do gier od lat używane są do rozpowszechniania malware. Jak w przypadku wielu innych metod ataku również ta ewoluuje, a wraz z nią zmieniają się cele cyberprzestępców. Nie zawsze chodzi o kradzież danych czy szyfrowanie plików dla okupu. Czasami wystarczy wykorzystać zasoby komputera ofiary, aby zaczął przynosić zyski komuś innemu.

Autor: 7 min czytania

Przykład takiego podejścia opisał 3 listopada Microsoft Threat Intelligence. W analizowanej kampanii spreparowane instalatory popularnych programów służyły do infekowania komputerów i używania ich jako źródła dochodu dla operatorów. Pod przykrywką instalacji wybranego oprogramowania uruchamiały w tle dodatkowe komponenty, które mogły wykorzystywać zasoby komputera. Wszystko bez świadomej zgody użytkownika.

Fałszywe instalatory i system ofert

Wszystko zaczynało się dość klasycznie. Użytkownik pobierał plik z nieoficjalnego źródła. Mógł to być crack płatnego programu, instalator gry lub niewielkie narzędzie użytkowe. Na liście przykładów Microsoft wymienia między innymi Command & Conquer: Red Alert 2, czyli kultową strategię RTS z 2000 roku, Navicat Premium, komercyjne narzędzie do zarządzania bazami danych, czy TFT Unlock Tool, wykorzystywany do serwisowania smartfonów z Androidem. Autorzy kampanii wykorzystywali rozpoznawalność tych aplikacji, rozpowszechniając pliki podszywające się pod ich instalatory.

Po uruchomieniu spreparowany instalator rozpakowywał pliki do katalogu tymczasowego %TEMP%\is-*.tmp\, wykorzystując mechanizmy charakterystyczne dla Inno Setup, popularnego narzędzia do tworzenia instalatorów Windows. Stamtąd uruchamiane były kolejne komponenty, między innymi pliki wykonywalne o nazwach eld*.exe (np. eld0.exe, eld1.exe), odpowiadające za dalszy przebieg infekcji.

Charakterystycznym elementem kampanii był mechanizm określany jako offers, czyli oferty. Zamiast instalować jeden z góry określony zestaw oprogramowania, instalator mógł obsługiwać kilka niezależnych pakietów. W rezultacie zainfekowane komputery mogły otrzymywać różne kombinacje dodatkowych aplikacji.

Autorzy kampanii zadbali również o otrzymywanie informacji zwrotnych dotyczących przebiegu instalacji. Instalator wysyłał żądania HTTP zawierające identyfikatory poszczególnych ofert oraz informacje o powodzeniu lub niepowodzeniu ich uruchomienia. Wykorzystywano do tego między innymi parametry offer_execution i offer_execution_fail.

Co istotne, niepowodzenie instalacji jednego pakietu nie musiało zatrzymywać całej operacji. Całość przypominała zorganizowany system dystrybucji dodatkowego oprogramowania, w którym jeden instalator mógł uruchomić kilka niezależnych mechanizmów pozwalających zarabiać na zasobach komputera ofiary.

Trzy sposoby zarabiania na cudzym komputerze

W analizie Microsoftu wyróżniono trzy sposoby wykorzystywania zasobów zainfekowanych komputerów do generowania przychodów.

Pierwszy z nich polegał na wykorzystaniu łącza internetowego użytkownika. Odpowiadał za to WorldProxyPool, który przekształcał komputer w tzw. residential proxy, czyli serwer pośredniczący wykorzystujący adres IP zwykłego użytkownika Internetu. W praktyce inne osoby mogły kierować swój ruch przez komputer ofiary, a odwiedzane serwisy widziały jej adres IP zamiast rzeczywistego adresu nadawcy. Takie rozwiązanie może służyć między innymi do ukrywania źródła aktywności w sieci, również tej nielegalnej. Właściciel urządzenia nieświadomie udostępniał więc swoje łącze zupełnie obcym osobom.

Aby zapewnić ciągłość działania, WorldProxyPool wykorzystywał również Harmonogram zadań Windows. Microsoft zaobserwował zadania odpowiedzialne za automatyczne uruchamianie agenta, kontrolowanie jego działania oraz regularne aktualizacje. Dzięki temu oprogramowanie mogło funkcjonować przez dłuższy czas, również po ponownym uruchomieniu komputera.

Druga metoda dotyczyła używania mocy obliczeniowej zainfekowanych urządzeń. W tym celu instalowano komponenty CharityEngine i BOINC, służące do obliczeń rozproszonych. Polegają one na dzieleniu większych zadań pomiędzy wiele komputerów, których procesory lub karty graficzne wspólnie wykonują określone operacje. Takie rozwiązania wykorzystywane są między innymi do skomplikowanych obliczeń naukowych. W analizowanej kampanii zasoby komputerów były jednak udostępniane bez świadomej zgody ich właścicieli.

Ostatnim sposobem była dystrybucja dodatkowego oprogramowania za pomocą AW Manager. Komponent ten odpowiadał za instalowanie kolejnych aplikacji, w tym narzędzi użytkowych i oprogramowania typu adware. Są to programy, których jednym z głównych celów jest generowanie przychodów poprzez wyświetlanie reklam użytkownikowi.

Warto jednak podkreślić, że część wymienionych rozwiązań, jak choćby BOINC czy CharityEngine, ma całkowicie legalne zastosowania. Problemem nie było więc samo istnienie takich programów, lecz sposób ich instalowania i wykorzystywanie zasobów komputera poza kontrolą właściciela.

Jak rozpoznać ślady kampanii?

Kampania pozostawiała na komputerach ślady, które mogą być pomocne w wykryciu niechcianego oprogramowania. Microsoft wśród swoich zaleceń wymienia między innymi monitorowanie procesów uruchamianych z katalogów tymczasowych Windows, szczególnie %TEMP%\is-*.tmp\, w których pojawiają się pliki o nazwach eld*.exe lub set_*.exe. Oczywiście same katalogi tymczasowe wykorzystywane przez instalatory nie są niczym podejrzanym, dlatego istotna jest również analiza uruchamianych z nich procesów i pobieranych komponentów.

Bardziej charakterystyczne ślady pozostawiał WorldProxyPool. Na zainfekowanych urządzeniach można szukać katalogu C:\Program Files\WorldProxyPool\ oraz zadań Harmonogramu Windows o nazwach WorldProxyPoolAgent, WorldProxyPoolWatchdog i WorldProxyPoolUpdater.

Warto również sprawdzić, czy na komputerze nie pojawiły się nieoczekiwanie aplikacje CharityEngine, BOINC lub AW Manager.

Cennych informacji może dostarczyć także analiza ruchu sieciowego. Microsoft wskazuje na żądania HTTP zawierające parametry d=inno oraz r=offer_execution lub r=offer_execution_fail, wykorzystywane przez instalatory do raportowania wyników poszczególnych ofert.

Dla administratorów korzystających z Microsoft Defender XDR producent udostępnił w swoim raporcie gotowe zapytania Advanced Hunting, pozwalające wyszukiwać charakterystyczne procesy, połączenia sieciowe i infrastrukturę kampanii.

Warto pamiętać, że pojedynczy podejrzany plik czy zadanie Harmonogramu nie musi jeszcze świadczyć o infekcji komputera. Znacznie więcej może powiedzieć połączenie kilku takich sygnałów.

Co istotne, w przypadku tej kampanii właściciel urządzenia mógł nawet nie zauważyć niczego niepokojącego. Komputer nadal działał normalnie, podczas gdy jego łącze internetowe lub moc obliczeniowa były wykorzystywane do generowania przychodów dla kogoś innego. Dlatego właśnie ślady pozostawione w systemie mogą okazać się bardziej wymowne niż objawy, które użytkownik byłby w stanie sam zauważyć.