Falešné instalátory „cracknutých“ programů dělají z počítačů proxy a výpočetní uzly

Co se stalo

Microsoft 3. listopadu 2026 zveřejnil rozbor kampaně s falešnými stránkami ke stažení. Kdo hledá cracknutý komerční program, hru zdarma, aktivátor, plugin, herní „executor“ nebo neoficiální nástroj, narazí na stránky, které napodobují weby se softwarem. Microsoft jmenuje mimo jiné návnady Navicat Premium, FabFilter Total Bundle, Command & Conquer: Red Alert 2, Echo Client, auto-clicker a Clownfish voice changer.

Stažený soubor je upravený instalátor Inno Setup. Místo slíbeného programu (nebo vedle něj) v jednom běhu spustí několik placených „nabídek“ – provozovatelé dostávají peníze za každou instalaci. Microsoft kampaň popisuje jako stále se vyvíjející a neuvádí počet obětí ani období.

Jak útok probíhá

Dočasný spouštěč posílá HTTP požadavky s parametry d=inno a r=offer_execution (při neúspěchu r=offer_execution_fail). Podle parametrů nabídky, partnera a relace se rozhodne, co se stáhne dál. Další součásti se instalují potichu (/qn, /S, /quiet, /norestart) v jedné nebo více ze tří větví:

V terminologii MITRE ATT&CK jde hlavně o zneužití prostředků (T1496): kradeným zbožím je připojení a výpočetní výkon. U WorldProxyPool Microsoft zaznamenal tři naplánované úlohy s právy SYSTEM a nejvyššími oprávněními: WorldProxyPoolAgent (při startu), WorldProxyPoolWatchdog (skrytý PowerShell každých pět minut) a WorldProxyPoolUpdater (každou hodinu).

Koho se to týká

Uživatelů Windows, kteří stahují pirátský software, cracky, generátory klíčů nebo herní módy z neoficiálních webů – doma i na firemních noteboocích, kde si uživatelé smějí instalovat programy. Pro firmy nejde jen o zbytečně spotřebované prostředky: přes proxyware odchází cizí provoz z vaší veřejné IP adresy.

Pro běžné uživatele: pokud jste nedávno instalovali „cracknutý“ program a počítač je pomalejší, ventilátor běží pořád nebo mezi nainstalovanými programy vidíte WorldProxyPool, BOINC či CharityEngine, které jste nevybrali, postupujte podle kroků níže.

Jak poznat napadení

Indikátory zveřejněné Microsoftem (domény zneškodněné; podle Microsoftu se domény často mění, shoda je stopa, ne důkaz):

beliefdesk[.]xyz
companyharbor[.]xyz
signalpane[.]cfd
inkact[.]xyz
wishgrove[.]cfd
orbittrack[.]cfd
prairielink[.]cfd
willowbox[.]xyz
stonestation[.]cfd
foldlodge[.]xyz
friendsanchor[.]xyz
fallport[.]cfd
wishcourt[.]cfd
cratebase[.]cfd
belieftrack[.]cfd

SHA-256 fází instalátoru:

006510ce1da2b7410376f0788c19e55616eb4bcc30072d25b7d0871dc32aa11c
21306fc5716f95e252388f920314b42f1c8bcc7df67cb4d39da30217b96f4044
72750d32b440e9f2b6d05ff3d218a561a75d3d75fb976b461fa59897674a7f70
ab2c2dd37fdcfe1e7620a57f98c80bd063258bea145adc0cc6a0f8b1e24c6a8f
452a210bba4c8d08f7cb7733a816d7220a7fa570a469aea0a997cfc8b594b6a0
523fb81fae0c7beba7b5171243cc0dee7a4d04ae0483be9172eef2394a5a2152
55cd3d36fdcc58016a64398357b2c9724a060da9f0d09266e537a61ec9552e4f

Co dál hledat:

• procesy spuštěné z %TEMP%\is-*.tmp\ s názvy eld*.exe, set_*.exe, FirstFast[1].exe nebo SecondRunner[1].exe,
• odchozí požadavky, jejichž URL obsahuje d=inno spolu s r=offer_execution nebo r=offer_execution_fail,
• nové naplánované úlohy WorldProxyPool* – Windows vytvoření úlohy zapíše jako událost zabezpečení 4698, pokud je zapnutá podkategorie auditu Audit Other Object Access Events,
• detekce Defenderu Trojan:Win64/OfferLoader.DA!MTB, Trojan:Win64/OfferLoader.DB!MTB, Behavior:Win32/SuspInnoOffer.A!mapsi, Adware:Win32/Clover a Trojan:Win32/OffLoader.A.

Seznam výše nebo vlastní exporty z proxy a EDR vložte do našeho extraktoru IOC a dostanete čisté seznamy pro SIEM; otisk podezřelého souboru spočítáte v hash kalkulačce. Oba nástroje běží jen ve vašem prohlížeči. Událost 4698 a související ID najdete v našem slovníku událostí Windows.

Co udělat

1. Izolujte a zinventarizujte. Na zasažených počítačích hledejte instalace WorldProxyPool, CharityEngine, BOINC, VirtualBox a AW Manager, které nikdo nechtěl, a tři uvedené naplánované úlohy.
2. Vyčistěte. Odstraňte úlohy i programy a spusťte úplnou kontrolu Defenderem. Protože řetězec běžel s právy SYSTEM, je u počítačů s citlivými daty bezpečnější přeinstalovat Windows.
3. Zapněte ochrany, které Microsoft doporučuje: ochranu z cloudu, ochranu proti neoprávněným změnám (tamper protection), ochranu založenou na reputaci SmartScreen a vhodná pravidla ASR (omezení prostoru pro útok).
4. Blokujte a sledujte uvedené domény na proxy nebo DNS resolveru a nastavte upozornění na vzor d=inno.
5. Zavřete dveře. Uživatelé by si neměli instalovat programy z náhodných webů – nabídněte jim schválený katalog softwaru.

Časová osa