کاربرانی که به دنبال دانلود نرم‌افزارهای کرک‌شده (Cracked Software)، بازی‌های رایگان یا پلاگین‌های غیررسمی هستند، ممکن است بدون اطلاع خود، سیستم‌های خود را در اختیار مهاجمان قرار دهند. مایکروسافت (Microsoft) از یک کمپین در حال تکامل خبر داده است که از نصب‌کننده‌های آلوده (Trojanized Installers) برای تبدیل دستگاه‌های ویندوزی به ماشین‌های پول‌سازی استفاده می‌کند. این فعالیت‌ها منابع پردازشی و پهنای باند اینترنت کاربران را بدون اجازه آن‌ها مصرف می‌کنند.
این کمپین از صفحات دانلود جعلی و نصب‌کننده‌هایی با سبک Inno Setup استفاده می‌کند تا چندین بسته نرم‌افزاری را در یک جلسه نصب (Installation Session) توزیع کند. مهاجمان از یک پوشه‌بندی (Wrapper) برای قرار دادن فایل‌های اجرایی موقت در دایرکتوری‌های Temp ویندوز استفاده می‌کنند. این فایل‌ها با استفاده از درخواست‌های HTTP که شامل پارامترهایی مانند d=inno و r=offer_execution هستند، با زیرساخت‌های مهاجمان ارتباط برقرار کرده و فرآیند نصب را مدیریت می‌کنند.
روش‌های کسب درآمد (Monetization)
بررسی‌ها نشان می‌دهد این کمپین از سه شاخه اصلی برای کسب درآمد استفاده می‌کند:
- Proxyware: نصب ابزاری مانند WorldProxyPool برای هدایت ترافیک اینترنت شخص ثالث از طریق دستگاه قربانی. این ابزار از Scheduled Tasks در سطح SYSTEM برای پایداری خود استفاده می‌کند.
- Distributed Computing: استفاده از منابع سیستم برای محاسبات توزیع‌شده از طریق ابزارهایی مانند CharityEngine، BOINC و VirtualBox.
- Adware و همکاری در فروش: نصب نرم‌افزارهای مدیریت ویندوز که در فعالیت‌های تبلیغاتی یا توزیع نرم‌افزار (Affiliate-driven) مشارکت می‌کنند.
توصیه‌های امنیتی برای سازمان‌ها
برای کاهش سطح حمله (Attack Surface)، متخصصان امنیت و مدیران SOC اقدامات زیر را توصیه می‌کنند:
- جلوگیری از دانلود و استفاده از نرم‌افزارهای غیررسمی، کرک‌ها و ابزارهای فعال‌ساز (Activators).
- فعال‌سازی قابلیت‌های محافظت در برابر برنامه‌های ناخواسته (PUA Protection) و محافظت مبتنی بر شهرت (Reputation-based protection) در آنتی‌ویروس‌ها.
- بررسی قوانین کاهش سطح حمله (ASR Rules) برای محدود کردن فایل‌های اجرایی بر اساس قدمت یا اعتبار آن‌ها.
- مانیتورینگ دایرکتوری‌های موقت (Temp) و بررسی فایل‌هایی با الگوهای خاص مانند eld*.exe یا set_*.exe.
- رصد درخواست‌های خروجی حاوی پارامترهای d=inno و r=offer_execution در ترافیک شبکه.
