Los instaladores de software falsos desactivan Windows Update y debilitan Microsoft Defender

Una cam­pa­ña de soft­wa­re ma­li­cio­so uti­li­za si­tios web fal­si­fi­ca­dos que si­mu­lan ser pro­vee­do­res le­gí­ti­mos para dis­tri­buir ins­ta­la­do­res frau­du­len­tos di­ri­gi­dos a usua­rios de habla china y ope­ra­cio­nes de or­ga­ni­za­cio­nes mul­ti­na­cio­na­les en China. Estas pá­gi­nas fal­sas em­plean con­te­ni­do en chino y están di­se­ña­das para en­ga­ñar a las víc­ti­mas con el fin de que des­car­guen ar­chi­vos com­pri­mi­dos cuyos ar­chi­vos eje­cu­ta­bles des­plie­gan una carga útil ma­li­cio­sa capaz de afec­tar a sec­to­res como la salud, la ma­nu­fac­tu­ra, el juego, la tec­no­lo­gía, la lo­gís­ti­ca, el go­bierno y la edu­ca­ción. Mi­cro­soft vin­cu­la esta ac­ti­vi­dad con un con­glo­me­ra­do de ame­na­zas de ori­gen chino lla­ma­do Sil­ver Fox o Yinhu.

Al ser eje­cu­ta­dos, los ins­ta­la­do­res lo­gran per­sis­ten­cia me­dian­te ta­reas pro­gra­ma­das que imi­tan ac­ti­vi­da­des ru­ti­na­rias y uti­li­zan Po­werShell con pri­vi­le­gios de sis­te­ma para mo­di­fi­car ex­clu­sio­nes de Mi­cro­soft De­fen­der y lis­tas de con­trol de ac­ce­so, ade­más de bo­rrar co­pias de vo­lu­men y des­ha­bi­li­tar ser­vi­cios re­la­cio­na­dos con Win­dows Up­da­te. Tras efec­tuar estas mo­di­fi­ca­cio­nes, el pro­gra­ma ma­li­cio­so es­ta­ble­ce co­mu­ni­ca­ción con in­fra­es­truc­tu­ra de co­man­do y con­trol a tra­vés de puer­tos no es­tán­dar. No obs­tan­te, las ac­cio­nes au­to­má­ti­cas de con­ten­ción de De­fen­der han in­ter­ve­ni­do para li­mi­tar el im­pac­to, man­te­nien­do in­cier­to el ob­je­ti­vo final de la cam­pa­ña.

Por otro lado, in­ves­ti­ga­cio­nes adi­cio­na­les re­ve­lan que las ac­ti­vi­da­des de Sil­ver Fox y el uso de ame­na­zas como Va­lley­RAT in­vo­lu­cran tam­bién téc­ni­cas de se­cues­tro de DLL me­dian­te apli­ca­cio­nes le­gí­ti­mas mo­di­fi­ca­das para di­fi­cul­tar su de­tec­ción. Va­rias em­pre­sas de se­gu­ri­dad han se­ña­la­do que este tipo de pro­gra­mas ma­li­cio­sos cuen­tan con ca­pa­ci­da­des de es­pio­na­je y ob­ten­ción de be­ne­fi­cios fi­nan­cie­ros, re­co­pi­lan­do in­for­ma­ción del sis­te­ma, pul­sa­cio­nes de te­clas y datos del por­ta­pa­pe­les, mien­tras que las au­to­ri­da­des de China han lle­va­do a cabo ac­cio­nes con­tra casos de ci­ber­de­lin­cuen­cia re­la­cio­na­dos con estas va­rian­tes de tro­ya­nos.