Ο εγκαταστάτης ενός «πειρατικού» προγράμματος ή παιχνιδιού μπορεί να κάνει πολύ περισσότερα από όσα υπόσχεται: να μετατρέψει σιωπηλά τον υπολογιστή του χρήστη σε πηγή εσόδων για τρίτους. Αυτό περιγράφει η Microsoft Threat Intelligence στην ανάλυση που δημοσίευσε την Τρίτη 3 Νοεμβρίου 2026 στο blog ασφαλείας της, για μια εξελισσόμενη εκστρατεία με πλαστές λήψεις. Πρόκειται για παγιδευμένους (trojanized) εγκαταστάτες τύπου Inno Setup (δημοφιλές εργαλείο δημιουργίας εγκαταστατών για Windows), που φέρνουν μαζί τους επιπλέον λογισμικό, τις λεγόμενες «προσφορές» (offers), το οποίο εγκαθίσταται στην ίδια διαδικασία εγκατάστασης.
Το δόλωμα είναι γνωστό: «σπασμένες» (cracked) εκδόσεις εμπορικών προγραμμάτων, δωρεάν παιχνίδια, εργαλεία παράνομης ενεργοποίησης (activators), πρόσθετα και ανεπίσημα βοηθητικά προγράμματα. Η Microsoft κατέγραψε ως παραδείγματα πειρατικά πρόσθετα ήχου, παιχνίδια για υπολογιστή, εργαλεία εκτέλεσης σεναρίων για το Roblox (executors), προγράμματα αυτόματων κλικ και εργαλεία για προγράμματα οδήγησης. Στα ονόματα που αναφέρει περιλαμβάνονται το Echo Client, το FabFilter Total Bundle, το «crack» του Navicat Premium και το Command & Conquer: Red Alert 2. Οι σελίδες λήψης είναι επιμελημένες, με στιγμιότυπα και επαναλαμβανόμενα κουμπιά «Download».
Μόλις ο χρήστης τρέξει το αρχείο, ο εγκαταστάτης εκκινεί ένα προσωρινό ενδιάμεσο πρόγραμμα (runner) στον φάκελο %TEMP%\is-*.tmp\, το οποίο τρέχει αριθμημένα στάδια με ονόματα όπως eld0.exe, eld1.exe και eld4.exe, με παραμέτρους γραμμής εντολών όπως /SL5, /SPAWNWND και /FIRSTWND. Έπειτα επικοινωνεί με διακομιστές που αλλάζουν συνεχώς, με σταθερή δομή αιτήματος: d=inno και r=offer_execution, μαζί με αναγνωριστικά προσφοράς, συνεργάτη διανομής (affiliate), δικτύου λήψης και θέσης στη σειρά εκτέλεσης. Αν μια προσφορά αποτύχει, το αίτημα γίνεται r=offer_execution_fail. Οι προσφορές επιτυγχάνουν ή αποτυγχάνουν ανεξάρτητα η μία από την άλλη, οπότε η αποτυχία της πρώτης δεν σημαίνει ότι σταμάτησε όλο το πακέτο.
Η Microsoft επιβεβαίωσε τρεις τρόπους με τους οποίους οι μολυσμένες συσκευές γίνονται πηγή εσόδων. Σημειώνει ότι τα προγράμματα αυτά μπορεί να έχουν και νόμιμες χρήσεις, όμως η σιωπηλή εγκατάστασή τους χωρίς ενημερωμένη συγκατάθεση του χρήστη δημιουργεί κινδύνους για την ασφάλεια και την ιδιωτικότητα. Ο πρώτος είναι το WorldProxyPool, λογισμικό που δρομολογεί κίνηση τρίτων μέσω του υπολογιστή (proxyware). Το στάδιο eld4.exe δημιουργεί τρεις προγραμματισμένες εργασίες με δικαιώματα SYSTEM: μία που εκκινεί τον πράκτορα sdk-agent.exe με την εκκίνηση του συστήματος, μία με κρυφό σενάριο επιτήρησης (watchdog) σε PowerShell που τρέχει κάθε πέντε λεπτά και μία που ενημερώνει το πρόγραμμα κάθε ώρα. Ο δεύτερος κλάδος εγγράφει τη συσκευή σε πλατφόρμα κατανεμημένου υπολογισμού με τα CharityEngine και BOINC, μαζί με το VirtualBox 7.2.8. Ο τρίτος εγκαθιστά βοηθητικές εφαρμογές με χαρακτηριστικά διαφημιστικού λογισμικού (adware), το Advanced Windows Manager και το Windows Manager.
Στην ανάλυση καταγράφονται και τα σχετικά ευρήματα ανίχνευσης. Το Microsoft Defender εντοπίζει το φορτίο ως Trojan:Win64/OfferLoader.DA!MTB και OfferLoader.DB!MTB, τη συμπεριφορά ως Behavior:Win32/SuspInnoOffer.A!mapsi και, στο στάδιο της εκμετάλλευσης των πόρων, ως Adware:Win32/Clover. Οι τεχνικές αντιστοιχούν σε επτά καταχωρίσεις του πλαισίου MITRE ATT&CK, μεταξύ των οποίων η εκτέλεση κακόβουλου αρχείου από τον χρήστη (T1204.002), η μόνιμη παρουσία μέσω προγραμματισμένης εργασίας (T1053.005), η μεταφορά εργαλείων στο σύστημα-στόχο (T1105) και η υφαρπαγή πόρων (T1496).
Για όσους ψάχνουν ίχνη, η Microsoft δημοσιεύει δείκτες παραβίασης (IOC). Τα ονόματα τομέα των διακομιστών που δέχονται τις αναφορές των προσφορών είναι τα beliefdesk[.]xyz, companyharbor[.]xyz, signalpane[.]cfd, inkact[.]xyz και wishgrove[.]cfd, ενώ το ερώτημα αναζήτησης απειλών (advanced hunting) περιλαμβάνει συνολικά 15. Η εταιρεία τονίζει ότι τα ονόματα τομέα αλλάζουν γρήγορα και ότι πιο σταθερό σήμα είναι ο συνδυασμός του μοτίβου d=inno, των προσωρινών φακέλων και των ονομάτων των σταδίων.
Στις συστάσεις περιλαμβάνονται η αποφυγή μη αξιόπιστων πηγών λογισμικού, προγραμμάτων παραγωγής κλειδιών και εργαλείων ενεργοποίησης, η ενεργοποίηση της προστασίας μέσω cloud και της προστασίας από παραποίηση (tamper protection) στο Defender, η προστασία βάσει φήμης και οι κανόνες μείωσης της επιφάνειας επίθεσης. Οι διαχειριστές καλούνται να ελέγχουν προγραμματισμένες εργασίες με δικαιώματα SYSTEM και να αναζητούν λογισμικό που δεν εγκατέστησαν οι χρήστες, όπως WorldProxyPool, CharityEngine, BOINC και VirtualBox. Την ίδια εβδομάδα, η ομάδα δημοσίευσε την τριμηνιαία αναφορά της για τις απειλές phishing και μια ανάλυση για πράκτορες τεχνητής νοημοσύνης που σαρώνουν το GitHub για εκτεθειμένα μυστικά.
