Technologie
Microsoft: Gefälschte Installer für Raubkopien und Spiele machen Windows-PCs zur Einnahmequelle für Dritte
Microsoft Threat Intelligence beschreibt eine Kampagne mit trojanisierten Inno-Setup-Installationsprogrammen, die unbemerkt Proxyware, Software für verteiltes Rechnen und Adware auf den PCs von Nutzern installieren, die geknackte Software herunterladen.
Das Installationsprogramm eines „Raubkopie“-Programms oder -Spiels kann weit mehr, als es verspricht: Es macht den Computer des Nutzers unbemerkt zu einer Einnahmequelle für Dritte. Das beschreibt Microsoft Threat Intelligence in einer Analyse, die am Dienstag, dem 3. November 2026, in seinem Sicherheitsblog veröffentlicht wurde. Sie befasst sich mit einer sich entwickelnden Kampagne gefälschter Downloads. Dabei handelt es sich um trojanisierte Inno-Setup-Installationsprogramme (ein beliebtes Werkzeug zum Erstellen von Windows-Installern), die zusätzliche Software enthalten, sogenannte „Angebote“, die im selben Installationsvorgang mitinstalliert werden.
Der Köder ist altbekannt: „geknackte“ Versionen kommerzieller Programme, kostenlose Spiele, illegale Aktivierungswerkzeuge (Activators), Erweiterungen und inoffizielle Dienstprogramme. Microsoft verzeichnete als Beispiele raubkopierte Audio-Plug-ins, PC-Spiele, Roblox-Skriptausführer, Auto-Clicker und Treiber-Tools. Genannt werden unter anderem Echo Client, das FabFilter Total Bundle, ein Crack von Navicat Premium und Command & Conquer: Red Alert 2. Die Download-Seiten sind professionell gestaltet, mit Screenshots und wiederholten „Download“-Schaltflächen.
So funktioniert das Installationsprogramm
Sobald der Nutzer die Datei ausführt, startet das Installationsprogramm ein temporäres Zwischenprogramm (Runner) im Ordner %TEMP%\is-*.tmp\. Dieses führt nummerierte Stufen mit Namen wie eld0.exe, eld1.exe und eld4.exe aus, mit Kommandozeilenparametern wie /SL5, /SPAWNWND und /FIRSTWND. Anschließend kontaktiert es ständig wechselnde Server mit einer festen Anfragestruktur: d=inno und r=offer_execution, zusammen mit Kennungen für das Angebot, den Vertriebspartner, das Download-Netzwerk und die Position in der Ausführungswarteschlange. Schlägt ein Angebot fehl, lautet die Anfrage r=offer_execution_fail. Angebote gelingen oder scheitern unabhängig voneinander, sodass das Scheitern des ersten nicht bedeutet, dass das gesamte Paket gestoppt wurde.
Microsoft bestätigte drei Wege, auf denen infizierte Geräte zu Geld gemacht werden. Das Unternehmen merkt an, dass diese Programme durchaus legitime Verwendungszwecke haben können, doch sie stillschweigend ohne informierte Zustimmung der Nutzer zu installieren, schafft Sicherheits- und Datenschutzrisiken. Der erste Weg ist WorldProxyPool, eine Software, die Datenverkehr Dritter über den Computer leitet (Proxyware). Die Stufe eld4.exe legt drei geplante Aufgaben mit SYSTEM-Rechten an: eine startet den Agenten sdk-agent.exe beim Systemstart, eine führt ein verstecktes PowerShell-Watchdog-Skript alle fünf Minuten aus, und eine aktualisiert das Programm stündlich. Der zweite Zweig meldet das Gerät bei einer verteilten Rechenplattform mit CharityEngine und BOINC an, zusammen mit VirtualBox 7.2.8. Der dritte installiert Hilfsanwendungen mit Adware-Merkmalen, Advanced Windows Manager und Windows Manager.
Erkennung und Empfehlungen
Die Analyse listet auch die zugehörigen Erkennungen. Microsoft Defender erkennt die Schadnutzlast als Trojan:Win64/OfferLoader.DA!MTB und OfferLoader.DB!MTB, das Verhalten als Behavior:Win32/SuspInnoOffer.A!mapsi und in der Phase der Ressourcenkaperung als Adware:Win32/Clover. Die Techniken entsprechen sieben Einträgen des MITRE-ATT&CK-Frameworks, darunter die Ausführung einer bösartigen Datei durch den Nutzer (T1204.002), Persistenz über geplante Aufgaben (T1053.005), die Übertragung von Angriffswerkzeugen (T1105) und Ressourcen-Hijacking (T1496).
Wer nach Spuren sucht: Microsoft veröffentlicht Indikatoren für eine Kompromittierung (IOCs). Die Domainnamen der Server, die die Angebotsberichte empfangen, lauten beliefdesk[.]xyz, companyharbor[.]xyz, signalpane[.]cfd, inkact[.]xyz und wishgrove[.]cfd, während die Abfrage für die erweiterte Suche insgesamt 15 enthält. Das Unternehmen betont, dass sich Domainnamen schnell ändern und dass ein verlässlicheres Signal die Kombination aus dem Muster d=inno, den temporären Ordnern und den Stufennamen ist.
Empfohlen wird unter anderem, nicht vertrauenswürdige Softwarequellen, Keygeneratoren und Aktivierungswerkzeuge zu meiden, in Defender den cloudbasierten Schutz und den Manipulationsschutz einzuschalten sowie den reputationsbasierten Schutz und Regeln zur Verringerung der Angriffsfläche (Attack Surface Reduction) zu aktivieren. Administratoren werden aufgefordert, geplante Aufgaben mit SYSTEM-Rechten zu prüfen und nach Software zu suchen, die Nutzer nicht installiert haben, etwa WorldProxyPool, CharityEngine, BOINC und VirtualBox. In derselben Woche veröffentlichte das Team seinen vierteljährlichen Bericht zu Phishing-Bedrohungen.
