Chiến dịch phát tán trình cài đặt giả mạo vô hiệu hóa Windows Update và làm yếu Microsoft Defender
"Microsoft reported an active malware campaign using fake software-download sites to distribute malicious installers that establish persistence, weaken security controls, and communicate with attacker infrastructure. The malware disables Windows Update services, adds Microsoft Defender exclusions, deletes shadow copies, and uses scheduled tasks and C2 domains on non-standard ports; Microsoft says Defender detected the activity and triggered automated containment, while no specific CVE was cited."
Rủi ro cao do vô hiệu hóa Windows Update, giảm hiệu lực Microsoft Defender và thiết lập C2 để duy trì kiểm soát hệ thống.
Có thể gây gián đoạn cập nhật, tăng nguy cơ lây nhiễm diện rộng và ảnh hưởng nhiều ngành nếu người dùng tải phần mềm từ nguồn không tin cậy.
Microsoft ghi nhận một chiến dịch mã độc đang sử dụng các website tải phần mềm giả mạo để phát tán trình cài đặt độc hại mạo danh nhà cung cấp hợp pháp. Khi được chạy, các gói này thiết lập persistence, làm suy yếu cơ chế bảo vệ và liên lạc với hạ tầng do kẻ tấn công kiểm soát.
Theo Microsoft, chiến dịch đã ảnh hưởng đến nhiều tổ chức thuộc các lĩnh vực y tế, sản xuất, game, công nghệ, logistics, chính phủ và giáo dục; trọng tâm là người dùng nói tiếng Trung và các hoạt động tại Trung Quốc. Hành vi quan sát được gồm vô hiệu hóa Windows Update, thêm Microsoft Defender exclusions, xóa volume shadow copies, tạo scheduled tasks giả mạo tác vụ IT thông thường và thiết lập kết nối C2 qua các cổng không chuẩn như 5090, 7031, 7088–7090.
Microsoft cho biết Defender đã phát hiện hoạt động này và kích hoạt automated containment để hạn chế tác động. Dù chưa công bố CVE nào, các tổ chức nên rà soát nguồn tải phần mềm, chặn miền/URL giả mạo, kiểm tra thay đổi đối với dịch vụ cập nhật và quy tắc loại trừ của Defender, đồng thời giám sát scheduled tasks, PowerShell và lưu lượng ra ngoài trên các cổng bất thường.