Trojanizované Inno Setup inštalátory: Microsoft analyzoval kampaň
Microsoft analyzoval kampaň, v ktorej trojanizované Inno Setup inštalátory z neoficiálnych zdrojov potajomky nasadzujú proxyware, nástroje na distribuované výpočty alebo adware.
Microsoft Threat Intelligence 3. novembra 2026 upozornil na kampaň využívajúcu trojanizované Inno Setup inštalátory pri sťahovaní cracknutého komerčného softvéru, hier, aktivátorov, pluginov a neoficiálnych utilít. Upravené inštalátory podľa analýzy potajomky doručujú ďalší softvér určený na monetizáciu napadnutého zariadenia.
Nejde o zneužitie konkrétnej zraniteľnosti vo Windowse alebo v Inno Setup. Kampaň sa spolieha na sociálne inžinierstvo: používateľ si sám stiahne a spustí neoficiálny inštalátor, pričom následné komponenty nemusia byť súčasťou očakávanej inštalácie ani byť nasadené s jeho informovaným súhlasom.
Trojanizované Inno Setup inštalátory a viacstupňový reťazec
Microsoft vo vzorkách pozoroval viacstupňový tok, ktorý pracuje s dočasnými súbormi Inno Setup v adresári %TEMP%\is-*.tmp\. Medzi sledované stopy patria procesy eld*.exe alebo set_*.exe spúšťané z tohto umiestnenia.
Inštalátory zároveň komunikovali cez HTTP callbacky s parametrami d=inno a r=offer_execution. Microsoft uvádza, že presný význam viacerých parametrov na strane servera nie je potvrdený. Samotná zhoda na doménu alebo názov súboru preto podľa firmy nestačí na potvrdenie kompromitácie. Pri vyšetrovaní odporúča tieto stopy spájať so spustením Inno inštalátora, sieťovou komunikáciou a mechanizmami perzistencie.
Tri pozorované spôsoby monetizácie
Microsoft potvrdil tri vetvy následného nasadenia. Prvou je WorldProxyPool, ktorý využíva sieťové zdroje zariadenia prostredníctvom proxy. Druhou sú CharityEngine a BOINC, teda komponenty pre distribuované výpočty. Tretiu vetvu predstavujú AW Manager a Windows Manager, ktoré Microsoft charakterizuje ako softvér s adwareovým zameraním.
V analyzovanom reťazci WorldProxyPool vytváral naplánované úlohy so systémovými oprávneniami. Týkalo sa to spúšťania agenta, dohľadu nad jeho behom a aktualizácie. Medzi konkrétne názvy úloh, ktoré majú správcovia preveriť, patria WorldProxyPoolAgent, WorldProxyPoolWatchdog a WorldProxyPoolUpdater.
Riziko sa týka najmä zariadení, na ktorých používatelia spúšťajú neoficiálne alebo cracknuté inštalátory. Takéto systémy môžu následne bez vedomia používateľa poskytovať výpočtový výkon alebo sieťové pripojenie tretím stranám. Perzistencia môže prebiehať cez úlohy spúšťané s oprávneniami SYSTEM.
Čo môžu preveriť používatelia a správcovia
Microsoft odporúča blokovať nedôveryhodné zdroje softvéru a preveriť neočakávané inštalácie. Pozornosť má smerovať najmä na prítomnosť WorldProxyPool, CharityEngine, BOINC, VirtualBox, AW Manager alebo Windows Manager, ak ich nasadenie nebolo očakávané.
Pre organizácie Microsoft zverejnil indikátory kompromitácie, detekčné názvy aj hunting dotazy pre Microsoft Defender XDR. Pri kontrole je vhodné hľadať kombináciu dočasných súborov Inno Setup, uvedených procesov, HTTP callbackov a nových naplánovaných úloh, nie izolovaný indikátor.
V zverejnenej analýze zatiaľ nie sú údaje o rozsahu kampane, počte obetí, geografickom zameraní ani o konkrétnom aktérovi. Ďalšie zistenia môžu priniesť nové varianty infraštruktúry alebo doplnenie atribúcie.
Zdroje
- Microsoft Security Blog – Primárna technická analýza kampane, jej pozorovaných payloadov, perzistencie, indikátorov kompromitácie, detekcií a odporúčaných mitigácií.
Overené a aktualizované: 04. 11. 2026 06:23
