Підробний сайт підтримки Windows 11 поширює шкідливе оновлення для крадіжки даних

Компанія з кібербезпеки Malwarebytes попереджає про появу фальшивого сайту технічної підтримки Windows, який пропонує завантажити «кумулятивне оновлення» для Windows 11 24H2. Сторінка та файл виглядають переконливо й не викликають негайних підозр. Натискання кнопки «Завантажити оновлення» ініціює завантаження пакета розміром 83 МБ, призначеного для викрадення паролів, платіжних даних та облікових записів користувачів.

Механізм обману та структура файлу

Шкідливий пакет було зібрано з використанням WiX Toolset версії 4.0.0.5512 — легітимного інструмента з відкритим кодом для створення інсталяторів. Файл під назвою WindowsUpdate 1.0.0.msi містить підроблені метадані: у полі «Автор» вказано Microsoft, а як назву обрано Installation Database. У коментарях зазначено, що файл містить «логіку та дані, необхідні для встановлення WindowsUpdate», що може вводити в оману недосвідчених користувачів.

Методи обходу антивірусів і прихована логіка

Дослідники Malwarebytes відзначають виняткову прихованість цього шкідливого ПЗ. На момент аналізу сервіс VirusTotal зафіксував 0 спрацювань із 69 антивірусних рушіїв для основного виконуваного файлу та 0 із 62 — для VBS-завантажувача. Ефективність шкідника зумовлена його архітектурою: оболонка Electron, яку використовують мільйони програм, приховує шкідливу логіку в обфускованому JavaScript-коді, що не проходить глибоку перевірку антивірусами. Додатково використовується корисне навантаження на Python, яке запускається під підробленим ім’ям процесу та динамічно підвантажує компоненти з легітимних джерел під час виконання. Лише відстеження повного ланцюга дій дозволяє виявити викрадення даних.

Зловмисники використовують домен microsoft-update.support, тоді як офіційний сайт підтримки розміщений за адресою support.microsoft.com. Malwarebytes вже додала цю загрозу до своєї бази для автоматичного виявлення.