Týká se vás to?
- Koho se to týká: firem s počítači s Windows, na kterých si lidé sami instalují desktopové AI aplikace z výsledků vyhledávání, především s administrátorskými právy.
- Netýká se vás, pokud: vaši uživatelé nemají administrátorská práva a nikdo za ně administrátorské heslo nezadává. Podle Check Pointu dropper bez administrátorských práv zobrazí hlášku „Please run this program as Administrator.“ a skončí.
Co udělat
- Řekněte kolegům, ať si desktopové AI aplikace stahují z webu výrobce, ne z projektu na GitHubu, který vyhledávač zobrazil jako první.
- Odeberte lokální administrátorská práva tam, kde je práce nevyžaduje. Bez nich instalátor skončí a požádá o administrátorská práva – takže nezadávejte administrátorské heslo kvůli „AI aplikaci“, kterou kolega našel na internetu.
- Na počítačích s Windows, jejichž uživatelé mají administrátorská práva, zadejte do adresního řádku Průzkumníka souborů C:\ProgramData\WMProcess: pokud v této složce najdete WMPDMC.exe a wmpdui.dll, je to známka nákazy. V Plánovači úloh (Task Scheduler) hledejte úlohu od autora „Microsoft Corporation“ s popisem „Collects device metadata for Windows Media Player.“ Pokud ve složce Stažené soubory (Downloads) leží Setup.exe a vedle něj winmm.dll, někdo si návnadu stáhl.
- Našli jste složku nebo úlohu? Odpojte počítač od sítě a přeinstalujte ho. Loader běží pod účtem Local System a stahuje cokoli, co si útočník vybere, takže smazat složku nestačí.
- Neberte platný podpis výrobce jako verdikt nad celým staženým balíkem. Ručí za jeden soubor, ne za DLL, která leží vedle něj.
Co víme – a co ne
- Check Point se domnívá, že se projekty vysoko ve výsledcích Googlu nejspíš ocitly díky otrávení výsledků vyhledávání (SEO poisoning); stránky na GitHub.io odkazují přímo na ZIP soubory.
- Podle Check Pointu malware nepoužívá vlastní řídicí servery a místo toho komunikuje přes Telegram, Tor, Catbox a DNS-over-HTTPS od Googlu, takže jeho provoz se hůř odlišuje od běžného používání.
- Podle Check Pointu byla míra detekce tak nízká, že útočníci nechali ZIP soubory bez hesla.
- Loader dokáže stažený obsah vložit do procesu svchost.exe nebo ho spustit jako program či skript PowerShellu. Check Point je zatím jediným zdrojem.
Proč na tom záleží
Žádný e-mail, žádná příloha: někdo hledá nejnovější model, klikne na první výsledek, dostane se na GitHub a instalátor nese podpis, kterému věří. Zastaví to obyčejné věci: žádná administrátorská práva pro běžnou práci, žádné administrátorské heslo zadané kvůli instalátoru od cizího člověka a zvyk stahovat nástroje od výrobce. Každý nový název AI modelu je čerstvá návnada.