Nowe technologie w oszustwach
Fałszywa aktualizacja przeglądarki — wirus zamiast łatki
Strona wyświetla monit o aktualizacji Chrome albo Windows i podsuwa plik do pobrania. To nie aktualizacja, tylko malware. Jak rozpoznać podróbkę i co zrobić.
- Kanał:
- strona internetowa
- Inne nazwy:
- fałszywa aktualizacja Chrome, fake update, fałszywy Windows Update, podrobiona aktualizacja przeglądarki
- Aktualizacja:
- Autor:
- Marek Adamczyk
Czytasz artykuł na jakiejś stronie i wyskakuje okienko: „Twoja przeglądarka jest nieaktualna. Zaktualizuj Chrome, aby dalej bezpiecznie przeglądać internet”. Wygląda dokładnie jak komunikat Google’a — ten sam krój pisma, to samo kółko z logo. Kliknięcie pobiera plik. I to jest cała pułapka, bo przeglądarki nie aktualizują się przez pliki pobierane ze stron internetowych.
Jak działa to oszustwo
Sedno metody jest w miejscu, w którym pojawia się komunikat. Chrome, Edge i Firefox aktualizują się same, w tle, a jeśli chcą coś zakomunikować, robią to wewnątrz programu — ikoną w rogu, wpisem w menu. Nigdy przez stronę, którą właśnie oglądasz. Ten szczegół wystarczy, żeby rozpoznać podróbkę bez żadnej wiedzy technicznej.
Warianty są trzy. Na komputerze: strona wyświetla monit o aktualizacji przeglądarki i podsuwa plik .exe lub .msi. Uruchomienie instaluje malware — najczęściej infostealera wykradającego hasła zapisane w przeglądarce i dane kart. Pełnoekranowy „Windows Update”: przeglądarka przechodzi w tryb pełnoekranowy i pokazuje realistyczny ekran aktualizacji systemu, po którym prosi o wykonanie polecenia. To bliski krewny ClickFix — tam pretekstem jest CAPTCHA, tu aktualizacja, ale finał ten sam: ofiara własnoręcznie uruchamia szkodliwy kod.
Na Androidzie metoda bywa najgroźniejsza. Strona podsuwa plik APK „aktualizacji Chrome” zamiast odesłać do Sklepu Play. Analitycy ThreatFabric opisali rozprowadzanego tak trojana Brokewell: po instalacji nakłada na ekran fałszywe okna logowania, przechwytuje wpisywane dane, rejestruje każde dotknięcie ekranu i potrafi zdalnie uruchamiać aplikacje bankowe bez wiedzy właściciela telefonu. Z zainfekowanego telefonu da się wyprowadzić pieniądze bez jednego kliknięcia ofiary.
Skąd taki komunikat na stronie, której ufasz? Bo strona mogła zostać zhakowana — CERT Polska opisywał polskie domeny zainfekowane w ten sposób. Zaufanie do serwisu nie rozciąga się na każde okienko, które się na nim wyświetli.
Co zrobić, gdy to się dzieje
- Zamknij kartę. Nie pobieraj pliku, nie klikaj „Zaktualizuj”. Jeśli chcesz sprawdzić wersję przeglądarki, zrób to w jej menu (Chrome: Pomoc → Chrome — informacje), nigdy przez stronę.
- Aktualizacje pobieraj tylko z oficjalnych źródeł: sama przeglądarka, Sklep Play, App Store, Windows Update z ustawień systemu.
- Jeśli plik już uruchomiłeś — odłącz urządzenie od internetu, żeby utrudnić wysyłanie wykradzionych danych.
- Zmień hasła z innego, czystego urządzenia — najpierw poczta i bank, potem reszta. Włącz weryfikację dwuetapową.
- Zadzwoń do banku, jeśli na zainfekowanym sprzęcie korzystałeś z bankowości. Na telefonie odinstaluj podejrzaną aplikację; przy poważnym podejrzeniu przywróć ustawienia fabryczne.
- Pełną kolejność działań po incydencie znajdziesz w poradniku co zrobić po oszustwie.
Gdzie zgłosić
Adres strony podsuwającej fałszywą aktualizację zgłoś do CERT Polska przez incydent.cert.pl. Jeśli doszło do strat finansowych, złóż zawiadomienie na policji i zgłoś sprawę w banku. Kanały zgłoszeń zebraliśmy w poradniku gdzie zgłosić oszustwo.
Pokrewna metoda, w której zamiast pliku podsuwa się numer telefonu: fałszywa pomoc techniczna. Obie należą do tej samej rodziny sztuczek, w których ofiara sama instaluje malware — omawiamy ją szerzej w analizie tego, co naprawdę nowego pojawiło się w warsztacie oszustów.
Częste pytania
Jak naprawdę aktualizuje się przeglądarka?
Sama, w tle. Chrome, Edge i Firefox pobierają aktualizacje automatycznie, a informują o nich wewnątrz programu (np. ikoną w menu), nigdy przez stronę internetową i nigdy przez plik do ręcznego pobrania. Na Androidzie aktualizacje przychodzą wyłącznie ze Sklepu Play.
Pobrałem i uruchomiłem „aktualizację”. Co robić?
Odłącz urządzenie od internetu. Z innego, czystego sprzętu zmień hasła do banku i poczty, włącz weryfikację dwuetapową. Zadzwoń do banku, jeśli na tym urządzeniu korzystałeś z bankowości. Przeskanuj sprzęt antywirusem; na telefonie odinstaluj podejrzaną aplikację, a przy poważnym podejrzeniu przywróć ustawienia fabryczne.
Czy fałszywa aktualizacja na telefonie jest groźniejsza niż na komputerze?
Bywa. Trojan Brokewell, rozprowadzany jako „aktualizacja Chrome” dla Androida, nakłada na ekran fałszywe okna logowania, przechwytuje wpisywane dane, śledzi dotknięcia ekranu i potrafi zdalnie uruchamiać aplikacje bankowe bez wiedzy właściciela telefonu.
Skąd fałszywa aktualizacja wzięła się na zwykłej stronie, której ufam?
Bo strona mogła zostać zhakowana. Przestępcy włamują się na legalne serwisy i doklejają do nich nakładkę z komunikatem. CERT Polska opisywał tak infekowane polskie domeny przy pokrewnej metodzie ClickFix. Zaufanie do serwisu nie oznacza, że możesz ufać każdemu okienku, które się na nim pojawi.