Ataque usa instaladores falsos de Edge e Kaspersky no Windows

A Microsoft identificou uma campanha ativa de malware que usa páginas de download falsificadas de softwares populares — Microsoft Edge, Kaspersky e Razer, entre outros — para instalar malware em máquinas Windows. O grupo já atingiu organizações em sete setores: saúde, manufatura, games, tecnologia, logística, governo e educação.

O golpe: sites clonados com download que se regenera

A campanha começa em sites falsos com visual quase idêntico ao das marcas originais. A Microsoft identificou domínios como app-microsoft-edge.com.cn, kaspersky-lab.hl.cn e pc-razerzone.com.cn, além de clones de Calibre, SteelSeries, Sejda PDF, DiskGenius e Baidu Netdisk.

Um botão de “Baixar agora” redireciona a vítima para um arquivo ZIP hospedado em infraestrutura separada. O detalhe técnico que chama atenção: a mesma URL e o mesmo nome de arquivo entregam conteúdo diferente a cada acesso. A Microsoft registrou duas cópias do mesmo pacote, com hash distinto, geradas com menos de 70 segundos de intervalo — o que inviabiliza bloqueio por hash e exige detecção por comportamento.

Persistência e evasão: msiexec, tarefas agendadas e Defender neutralizado

Depois da extração do ZIP, um instalador intermediário grava um executável em pastas com nome aleatório, geralmente em C:\Users\Public\ ou C:\Program Files (x86)\. Uma rota paralela abusa do msiexec.exe em modo embedded para gravar o payload usando um binário assinado da própria Microsoft, técnica que ajuda a passar despercebida por controles baseados em reputação.

A persistência usa tarefas agendadas com nomes genéricos, do tipo “Deadline Mission Target”, que reexecutam o payload a cada 60 segundos a partir de C:\ProgramData\. O malware também cria tarefas de curta duração em nível SYSTEM só para adicionar exclusões no Microsoft Defender — e depois apaga essas tarefas para dificultar a perícia.

Outras ações observadas: apagar cópias de sombra com vssadmin, parar o serviço do Windows Update, limpar o cache SoftwareDistribution e gravar uma política maliciosa de Windows Defender Application Control. O tráfego de comando e controle usa portas incomuns, como 5090, 7031, 7032, 7088-7090, 8050, 28290 e 28300, com um bucket do Alibaba Cloud Object Storage como canal de contingência quando o C2 principal está indisponível.

A Microsoft avalia, com confiança moderada, que a operação tem ligação com a campanha conhecida publicamente como Silver Fox (ou Yinhu), e que o impacto até agora recaiu principalmente sobre operações de multinacionais na China.

Como se proteger

1. Bloqueie download de instaladores fora de fontes oficiais e lojas verificadas.
2. Ative o Tamper Protection e o SmartScreen no ambiente Windows.
3. Habilite o Network Protection do Microsoft Defender para bloquear conexões a domínios maliciosos conhecidos.
4. Configure regras de Attack Surface Reduction para bloquear executáveis de baixa prevalência e scripts ofuscados.
5. Monitore telemetria de download do navegador (FileOriginUrl e FileOriginReferrerUrl) cruzando com domínios semelhantes aos de marcas conhecidas.
6. Audite tarefas agendadas criadas fora de processos de gestão de mudança, especialmente as de curta duração em nível SYSTEM.

Perguntas frequentes

A campanha explora alguma vulnerabilidade do Windows?
Não. O vetor é engenharia social: a vítima baixa e executa manualmente um instalador falso. Não há exploração de falha de software até o momento reportado.

Quais sistemas operacionais são afetados?
Apenas Windows. Os payloads e as técnicas de persistência (tarefas agendadas, msiexec.exe, exclusões no Defender) são específicos da plataforma.

O Microsoft Defender detecta esse ataque?
A Microsoft afirma que o Defender identifica atividade em múltiplos estágios da cadeia — entrega, execução, criação de tarefas, adulteração do próprio Defender, comunicação C2 e movimentação lateral via SMB — e que o recurso Attack Disruption já conteve automaticamente dispositivos afetados em incidentes qualificados.

Por que bloquear só os domínios listados não resolve?
Porque a infraestrutura de hospedagem e DNS é compartilhada com locatários legítimos, e os domínios de isca mudam. A recomendação é tratar os indicadores como pontos de partida para caça a ameaças, não como lista de bloqueio definitiva.

Isso está relacionado a algum grupo conhecido?
A Microsoft associa a operação, com confiança moderada, à campanha Silver Fox (também chamada Yinhu), sem atribuição a um agente estatal.

Conclusão

A campanha reforça um padrão que só cresce: nomes de software confiável funcionam como isca de acesso inicial, e a regeneração de payload a cada download quebra defesas baseadas só em hash. Para equipes de TI, o ponto de ação imediato é reduzir a superfície de instalação não gerenciada — via política de execução, catálogo de software aprovado e detecção comportamental — em vez de depender de listas de bloqueio que ficam desatualizadas em horas.