Обновления WIndows могут украсть ваши данные. Мошенники стали подделывать сайт Microsoft

Безопасность

22 Апреля 2026 13:54 22 Апр 2026 13:54

| Поделиться

Обновления WIndows могут украсть ваши данные. Мошенники стали подделывать сайт Microsoft

Исследователи обнаружили фишинговый ресурс, имитирующий официальный сайт поддержки Microsoft, который вводит пользователей в заблуждение с целью загрузки фальшивого обновления операционной системы Windows. Под видом штатного ПО на устройство устанавливается вредоносная программа, предназначенная для хищения паролей, реквизитов банковских карт и обеспечения несанкционированного доступа к учетным записям.

Фейковые обновления

В апреле 2026 г. эксперты по кибербезопасности зафиксировали новую масштабную кампанию по распространению вредоносного ПО через поддельный сайт поддержки Microsoft. О новой мошеннической схеме первыми рассказали исследователи из Malwarebytes.

Обнаруженный исследователями фишинговый сайт практически неотличим от официального портала техподдержки Microsoft. Он предлагает пользователям скачать «кумулятивное обновление для Windows версии 24H2», однако загружаемый файл Windowsupdate1.0.0.msi на самом деле является установщиком вредоносной программы-стилера.

Вредоносный файл создан с использованием легитимного инструментария WiX Toolset, а его метаданные полностью подделаны, чтобы имитировать официальный продукт Microsoft — сообщает Malwarebytes.

Microsoft
Мошенники стали подделывать сайт Microsoft для распространения вирусов под видом обновлений Windows
Это позволяет обмануть не только пользователей, но и многие антивирусные решения. В момент анализа Malwarebytes ни один из десятков антивирусных движков на VirusTotal не обнаружил угрозы в основном исполняемом файле и загрузчике. Основной код вредоносной программы спрятан в обфусцированном JavaScript, который активирует скрытую Python-среду и дополнительные модули для кражи данных.

Ваши данные у нас

После установки вредоносное ПО похищает сохраненные в браузерах пароли, файлы cookie, сессии учетных записей, а также данные мессенджера Discord, модифицируя его файлы для перехвата токенов входа, платежных данных и изменений двухфакторной аутентификации. Кроме того, злоумышленники получают IP-адрес и геолокацию жертвы. Похищенная информация отправляется на серверы, управляемые атакующими, а также загружается через файловый хостинг Gofile.

На момент написания статьи основная масса целевых пользователей находится во Франции — сайт мошенников полностью написан на французском языке. Однако исследователи предупреждают, что подобные кампании имеют свойство быстро распространяться, поэтому под угрозой могут оказаться пользователи по всему миру.

Пользователям Windows настоятельно рекомендуется устанавливать обновления исключительно через штатную функцию Центра обновлений, а не по ссылкам из электронных писем или с подозрительных сайтов.

Также сообщается, что корпорация Microsoft подтвердила существование этой угрозы.

Технические подробности

После установки вредоносное ПО создает два механизма автозагрузки, чтобы гарантированно сохраняться в системе после перезагрузки.

Первый — запись в реестр по пути HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run с именем SecurityHealth, которая маскируется под легитимный компонент Windows Security.

Второй — создание ярлыка Spotify.lnk в папке автозагрузки пользователя, что заставляет большинство пользователей думать, будто приложение Spotify само добавилось в автозапуск.

Перед началом кражи данных мошенническое ПО с помощью утилиты taskkill.exe принудительно завершает более двухсот процессов — среди них антивирусные решения, браузеры (чтобы разблокировать хранилища паролей) и другие потенциально мешающие программы. Это позволяет стилеру беспрепятственно получить доступ к нужным файлам и базам данных.

После публикации отчета специалисты Malwarebytes добавили соответствующие сигнатуры в свои продукты, поэтому сейчас вредоносный файл и его компоненты детектируются значительно лучше, чем в первые дни кампании.

• Первый в России ИТ-маркетплейс CNewsMarket для Вашего бизнеса. С ценами на ИТ-услуги от сотен поставщиков

Антон Мушинский

Поделиться

Подписаться на новости

Короткая ссылка