Фалшив сайт за активиране на Windows разпространява зловредни PowerShell скриптове

Вчера в Reddit се появиха съобщения за заразяване със зловреден софтуер, който се опитва да активира незаконно Windows. Според тези съобщения нападателите са създали домейна get.activate.win, който се различава само с една буква от добре познатия домейн за активиране на Windows get.activated.win. Някои потребители се озовали във фалшивия домейн, в резултат на което компютрите им били заразени със зловреден софтуер.

Изследователят по сигурността RussianPanda установи, че компютрите на жертвите са били заразени със зловредния софтуер с отворен код Cosmali Loader, както потвърди анализаторът на зловреден софтуер Карстен Хан. Според RussianPanda Cosmali Loader разпространява помощни програми за криптодобив и троянския кон за отдалечен достъп (RAT) XWorm.

Потребителите на заразените компютри получиха следното съобщение:

„Заразени сте със злонамерен софтуер, наречен Cosmali Loader, защото при активирането на Windows в PowerShell погрешно сте написали get.activated.win вместо get.activate.win. Панелът със зловредния софтуер е несигурен и всеки, който го разгледа, има достъп до компютъра ви. Преинсталирайте Windows и не повтаряйте тази грешка следващия път. Като доказателство, че компютърът ви е заразен, проверете в „Мениджър на задачите“ и потърсете странни процеси в PowerShell“.

Въпреки че авторът на тези предупредителни съобщения е неизвестен, експертите смятат, че изследовател с добри намерения е получил достъп до контролния панел на зловредния софтуер и го е използвал, за да информира потребителите за хакерската атака. Създателите на проекта MAS също предупреждават потребителите и ги призовават да проверяват командите, преди да ги изпълнят.

MAS е набор от PowerShell скриптове с отворен код, които автоматизират активирането на Microsoft Windows и Microsoft Office с помощта на HWID активиране, KMS емулация и различни обходни пътища (Ohook, TSforge). Проектът се хоства в GitHub и е публично достъпен. Microsoft го разглежда като инструмент за пиратство, който активира продукти без лиценз, използвайки неразрешени методи.

На потребителите се препоръчва да избягват изпълнението на отдалечен код, освен ако не разбират напълно целта му, винаги да тестват софтуера в пясъчник и да избягват повторното въвеждане на команди, за да се сведе до минимум рискът от изтегляне на опасен зловреден софтуер от домейни, които използват печатни букви. Неофициални активатори на Windows са били използвани многократно за разпространение на зловреден софтуер, така че потребителите трябва да са наясно с рисковете и да внимават, когато използват такива инструменти.

През март беше съобщено как асистентът с изкуствен интелект Copilot помага на потребителите да пиратстват активацията на Windows 11. Той подсказва скриптове на трети страни, които активират Windows 11 с няколко кликвания на мишката. Това поведение очаквано не се хареса на Microsoft и в крайна сметка компанията поправи отговорите на Copilot на такива запитвания, а през ноември затвори напълно пролуката.