Microsoft identifica campanha de downloads falsos que usa instaladores trojanizados para monetizar dispositivos

A Microsoft Threat Intelligence descreve uma campanha em que o instalador falso funciona como plataforma de entrega de "offers". O usuário procura software crackeado, jogo gratuito, ativador, plugin ou utilitário não oficial, roda o instalador e recebe, na mesma sessão, vários payloads de software monetizado. Entre as iscas citadas estão FabFilter Total Bundle, Navicat Premium crack, executors de Roblox, auto-clickers e ferramentas de drivers.

A cadeia tem quatro estágios. O wrapper no estilo Inno Setup cria um runner temporário em %TEMP%\is-*.tmp\ e dispara estágios numerados (eld*.exe, set_*.exe). Depois vem o callback contra infraestrutura rotativa, com o padrão d=inno e r=offer_execution (falhas aparecem como r=offer_execution_fail). Por fim, os payloads são instalados com switches silenciosos como /qn, /S, /quiet e /norestart. Ofertas diferentes podem ter sucesso ou falhar de forma independente na mesma sessão, então a falha da primeira não encerra o pacote.

São três ramificações confirmadas: WorldProxyPool (proxy e recursos de rede), CharityEngine e BOINC (computação distribuída, com VirtualBox junto) e AW Manager e Windows Manager (utilitários no estilo adware). O WorldProxyPool cria três tarefas agendadas como SYSTEM: agente na inicialização, watchdog em PowerShell a cada cinco minutos e atualizador a cada hora. A Microsoft ressalta que esses produtos podem ter uso legítimo, mas a instalação silenciosa sem consentimento informado gera risco de segurança e privacidade. Como os domínios de callback são descartáveis, o sinal mais durável para caça é a combinação de callback, execução temporária do Inno, nomes de estágios e atividade da sessão. Domínio isolado é pista, não confirmação.

Para quem opera segurança corporativa, o caso mostra que "não é ransomware nem RAT" não significa baixo risco. Um endpoint com proxyware roda tráfego de terceiros pela rede da empresa e mantém persistência como SYSTEM. Na leitura editorial, vale tratar inventário de software (WorldProxyPool, BOINC, VirtualBox inesperado) e criação de tarefas agendadas como sinais de triagem, e reforçar a política contra software crackeado, que continua sendo a porta de entrada.