Nebezpečí už dávno nespočívá v tom, že si někde stáhnete „virus“. Spočívá v tom, že si stáhnete program ze stránky, která vypadá naprosto správně – má logo výrobce, stejné barvy, stejné popisky, dokonce i sekci s dotazy. Zářijová analýza bezpečnostního týmu Microsoftu popsala kampaň, ve které útočníci naklonovali weby nejméně osmnácti známých aplikací a šířili z nich instalátor, který nedělá jen to, že přibalí nějaké harampádí navíc. Vypne službu Windows Update, takže počítač tiše přestane dostávat opravy, a přes PowerShell zapíše do Microsoft Defenderu výjimky pro celé složky, které se pak už nikdy neprohledají.
V tomhle textu vám ukážeme tři věci. Za prvé pět signálů, podle kterých falešný web prozradí sám sebe, i když vypadá dokonale. Za druhé tři kontroly, které zaberou minutu a provedete je ještě předtím, než na soubor dvakrát kliknete. A za třetí – protože se to stává i opatrným lidem – co dělat, když už jste instalátor spustili. Žádné strašení, jen postup, který si můžete nechat po ruce.
Jak dnešní podvod vypadá
Vstupní branou není příloha e-mailu ani pochybný torrent. Je to webová stránka. Podle zmíněné analýzy šlo o věrné kopie oficiálních stránek výrobců, provozované na vlastních doménách – tedy na adresách, které si žijí vlastním životem a tváří se jako plnohodnotný web. Mezi napodobenými značkami byly jmenovány mimo jiné Microsoft Edge, Kaspersky, Razer, SteelSeries, draw.io, Calibre, Sejda, DiskGenius, Baidu Pan, Youdao Translate a MindMaster. Společné mají jen to, že je lidé běžně hledají.
Na klonu je obvyklé tlačítko ke stažení, přesně tam, kde ho čekáte. Stáhne se archiv – a tady je detail, který stojí za pozornost. Název souboru zůstává pokaždé stejný, ale jeho hash je při každém stažení jiný, protože se obsah generuje až na serveru. Plynou z toho dva závěry. Antivirové signatury postavené na známém otisku souboru jsou k ničemu, protože žádný „známý otisk“ neexistuje. A soubor, jehož kontrolní součet nikdy nesedí s tím, co zveřejnil vývojář, je sám o sobě výstražná vlajka.
Řekněme si to na rovinu: stará rada „podvod poznáš podle ošklivého webu“ přestala platit. Dnešní kopie bývají zpracované lépe než weby leckterého poctivého vývojáře. Poznávacím znamením už není vzhled, ale adresa, cesta, kterou jste na stránku přišli, a tvar souboru, který vám nabídne.
Pět signálů, podle kterých poznáte falešný web
1. Doména, která je „skoro“ správně
Typosquatting, tedy překlep v adrese, je nejstarší trik a pořád funguje. Vedle něj se objevuje známé jméno s přidaným slovem (nazev-download, get-nazev, nazev-official) nebo obvyklé jméno na neobvyklé koncovce. Samotná koncovka nic nedokazuje, ale v kombinaci se zbytkem je to signál. Jediná spolehlivá kontrola je srovnání: podívejte se, jakou adresu uvádí výrobce ve vlastní dokumentaci nebo v nápovědě už nainstalovaného programu, a porovnejte ji znak po znaku s tím, co máte v adresním řádku.
2. To, jak jste se na stránku dostali
Placená reklama nad výsledky vyhledávání je klasická doručovací cesta. Je nahoře, vypadá jako první výsledek a člověk na ni klikne dřív, než si přečte adresu. Doporučujeme si adresu ověřených programů uložit do záložek a u ostatních ji raději napsat ručně. Když už ve výsledcích klikáte, přeskočte inzertní blok a jděte na organický odkaz.
3. Stahování začne z úplně jiné domény
Jste na stránce, která se tváří jako web výrobce, kliknete na tlačítko a soubor přiletí odněkud úplně jinud. U velkých projektů je normální, že se stahuje z jejich CDN nebo z release stránky na GitHubu – ta doména ale musí dávat smysl a být dohledatelná. Adresu zdroje uvidíte po najetí myší na tlačítko nebo v seznamu stažených souborů prohlížeče. Náhodně vypadající jméno serveru je důvod soubor rovnou smazat.
4. Místo podepsaného instalátoru dostanete archiv
Velcí výrobci nabízejí podepsaný instalátor přímo. Když místo toho stáhnete ZIP nebo RAR, uvnitř kterého je teprve setup.exe, ptejte se proč. Archiv je pohodlný způsob, jak instalátor schovat před kontrolou při stahování. Samostatnou kapitolou je dvojitá přípona: soubor instalace.pdf.exe není dokument, ale spustitelný program. Ve Windows si proto zapněte zobrazování přípon souborů; bez toho tuhle past nevidíte. Když už archiv rozbalujete, hodí se poctivý nástroj – přehled najdete v naší sekci komprese a zálohy a jako bezpečnou výchozí volbu doporučujeme 7-Zip.
5. Stránka vám vnucuje vlastního „správce stahování“
Pokud web místo samotného programu nabízí „download manager“, „install helper“ nebo „asistenta instalace“, který prý stažení urychlí, je to skoro vždy obal na něco jiného. Poctivý projekt vám dá soubor a nepotřebuje k tomu prostředníka, který si vyžádá práva správce dřív, než vůbec uvidíte, co se instaluje.
Tři kontroly, než soubor spustíte
Digitální podpis
Klikněte na stažený soubor pravým tlačítkem, zvolte Vlastnosti a přepněte se na kartu Digitální podpisy. Pokud tam je platný podpis a jméno vydavatele odpovídá firmě, od které program čekáte, je to silný signál. Buďme ale féroví: řada malých open-source nástrojů podpis legitimně nemá. Co ale nikdy není v pořádku, je chybějící nebo cizím jménem podepsaný instalátor velkého výrobce. U Edge, Kasperského nebo Razeru podpis být musí. Když není, končíte.
Kontrolní součet
Otisk souboru spočítáte bez instalace čehokoli. V příkazovém řádku zadejte certutil -hashfile soubor.exe SHA256, v PowerShellu stačí Get-FileHash soubor.exe. Výsledek porovnejte s hodnotou, kterou vývojář zveřejnil na své stránce nebo u vydané verze. A teď to spojení s popsanou kampaní: protože se podvodný soubor generuje znovu při každém stažení, jeho otisk se s žádnou zveřejněnou hodnotou shodovat nemůže. Nesouhlasící hash tedy není drobná nesrovnalost, kterou by šlo přejít, ale jasná odpověď.
Online prověření souboru
Soubor můžete nahrát do služby, která ho nechá prověřit desítkami antivirových jader naráz. Je to užitečné, ale mějme realistická očekávání: zbrusu nový vzorek se často vrátí čistý, protože ho ještě nikdo nezná. Čistý výsledek proto není důkaz bezpečnosti, jen konstatování, že na soubor zatím neexistuje detekce. Berte to jako doplněk k podpisu a hashi, ne jako náhradu – a rezidentní ochranu na počítači to nenahradí vůbec; porovnání programů najdete v sekci antiviry.
SmartScreen: co to je a proč ho neobcházet ze zvyku
Modré okno s nápisem, že systém Windows ochránil váš počítač, není hláška o tom, že je soubor škodlivý. SmartScreen pracuje s reputací: sleduje, jak často a jak dlouho se daný soubor či vydavatel ve světě objevuje. Nový soubor bez historie proto varování vyvolá, i když je naprosto legitimní – běžně se to stává u čerstvě vydaných verzí.
Právě proto je varování užitečné a právě proto se nemá odklikávat reflexivně. Správná reakce není hledat odkaz „Přesto spustit“, ale vrátit se o krok zpět a ověřit zdroj: sedí doména? Sedí podpis? Sedí hash? Pokud ano, spuštění je vaše informované rozhodnutí. Pokud ne, máte odpověď, kterou jste potřebovali.
Tři ochrany, které Windows mají a málokdo je zapne
Ochrana proti neoprávněným změnám
Tamper Protection, česky ochrana proti neoprávněným změnám, najdete v Zabezpečení Windows v nastavení ochrany před viry a hrozbami. Brání tomu, aby nastavení Defenderu měnil kdokoli jiný než vy přes rozhraní systému. Je to přesně ta pojistka, která popsanému škodlivému kódu znemožní zapsat si vlastní výjimky. Microsoft ji ve svých doporučeních uvádí na prvním místě, spolu s vynucováním pravidel pro omezení prostoru pro útok a se zákazem stahování z nedůvěryhodných zdrojů.
Blokování potenciálně nežádoucích aplikací
Volbu najdete v části ochrana založená na reputaci. U části uživatelů je ve výchozím stavu vypnutá, přitom zachytí přesně tu kategorii přibaleného adwaru a „optimalizátorů“, které se vezou s instalátory. Zapnutí je otázka dvou kliknutí.
Kontrola, že Windows Update opravdu běží
Popsaný instalátor zastavuje a zakazuje služby wuauserv, UsoSvc, uhssvc a WaaSMedicSvc, přejmenovává knihovny aktualizací a maže jejich mezipaměť. Výsledkem je počítač, který tiše přestane dostávat opravy. Nefungující aktualizace jsou proto samy o sobě příznak, který stojí za prověření. Podívejte se do historie aktualizací, jestli v ní nezeje několikaměsíční díra, a ověřte stav zmíněných služeb. K údržbě systému se hodí i nástroje ze sekce systém a údržba; širší postup, jak udržet systém i ovladače v aktuálním stavu, jsme popsali v článku o ovladačích a aktualizacích ve Windows 11.
Instalace: kde se lidé chytnou nejčastěji
I poctivě stažený instalátor se dá odklikat špatně. Volte vždy vlastní nebo pokročilou instalaci, nikdy ne doporučenou či expresní – právě ta bývá zkratkou, která za vás odsouhlasí všechno. Čtěte každou obrazovku, i když jich je pět za sebou. Odškrtávejte přibalené nabídky, panely nástrojů a „partnerský software“. A zásadně odmítejte změny domovské stránky a výchozího vyhledávače v prohlížeči; s instalací programu nemají nic společného.
Webu se dá také úplně vyhnout. Windows mají vestavěného správce balíčků, který stahuje z ověřených zdrojů a instaluje bez klikacího průvodce. Příkaz winget install --id VideoLAN.VLC nainstaluje VLC bez návštěvy jakékoli stránky – a tím pádem bez šance narazit na klon.
Už jsem to spustil. Co teď?
Nejprve odpojte počítač od sítě – vytáhněte kabel, vypněte Wi-Fi. Popsaný kód komunikuje s řídicím serverem, umí vkládat svůj kód do legitimních procesů a v některých případech otevřel cestu útočníkovi pracujícímu přímo na stroji; odpojení tuhle linku přeruší. Pak projděte naplánované úlohy, kde si škodlivý kód zařizuje přežití restartu, obvykle pod nenápadně znějícími názvy. Zkontrolujte, jestli v Defenderu nejsou výjimky, které jste nezadali, a jestli běží služby Windows Update. Následně spusťte úplnou kontrolu a po ní ještě kontrolu offline, která proběhne před startem systému.
Hesla k důležitým účtům měňte z jiného zařízení, ne z toho zasaženého – na kompromitovaném počítači byste nové heslo rovnou předali dál. A na závěr to nepříjemné, ale poctivé: pokud něco vypnulo Defender, zakázalo Windows Update a smazalo stínové kopie svazku, vzalo vám tím i možnost systém vrátit do dřívějšího stavu. V takové situaci je spolehlivou odpovědí čistá reinstalace systému, ne další kolo skenování. Proto je aktuální záloha na odděleném médiu cennější než jakýkoli antivirus – udělá z incidentu ztrátu odpoledne místo ztráty všeho.
Rychlý postup
Na web výrobce jděte přes záložku nebo ručně napsanou adresu, ne přes reklamu ve vyhledávači.
Porovnejte doménu znak po znaku s adresou z oficiální dokumentace.
Sledujte, odkud se soubor skutečně stahuje.
Odmítněte archiv s instalátorem uvnitř, dvojitou příponu i vnucovaného „správce stahování“.
Zkontrolujte digitální podpis ve Vlastnostech souboru.
Spočítejte hash a porovnejte ho s hodnotou zveřejněnou vývojářem.
Nechte soubor prověřit online, ale čistý výsledek neberte jako důkaz.
Varování SmartScreenu neobcházejte ze zvyku – vraťte se ověřit zdroj.
Mějte zapnutou ochranu proti neoprávněným změnám a blokování nežádoucích aplikací.
Instalujte vlastní volbou, odškrtávejte přibalené nabídky.
Kde to jde, použijte
wingetmísto stahování z webu.Udržujte aktuální zálohu na odděleném médiu.
Časté otázky
Je bezpečnější stahovat z katalogů než z reklamy ve vyhledávači?
Zpravidla ano, ale ne automaticky. Redakčně spravovaný katalog, který odkazuje na oficiální zdroj, vám ušetří hledání správné adresy a odstíní vás od placených inzerátů. Cílovou adresu i stažený soubor byste ale měli ověřit stejně jako kdykoli jindy. Katalog není štít, jen zkratka ke správné adrese.
Stačí mi antivirus?
Nestačí, i když je potřebný. V popsané kampani se soubor generuje znovu při každém stažení, takže detekce podle známého otisku selhává z principu. Moderní ochrana pracuje i s chováním programu a s reputací, jenže útok mířil právě na to, aby ji umlčel – výjimkami pro celé složky a vypnutými aktualizacemi. Berte antivirus jako jednu vrstvu z několika, ne jako důvod nekontrolovat zdroj.
Co když instalátor nemá digitální podpis?
Záleží na tom, od koho je. U malého open-source nástroje je chybějící podpis běžný a ověření pak stojí na hashi zveřejněném u vydané verze a na tom, že soubor máte ze stránky projektu. U instalátoru velké firmy je chybějící podpis důvod soubor nespouštět.
Jak poznám, že mi něco vypnulo Windows Update?
Otevřete historii aktualizací a podívejte se na datum té poslední. Pokud tam je několikaměsíční mezera, něco není v pořádku. Dál zkontrolujte, zda jsou spuštěné služby wuauserv, UsoSvc, uhssvc a WaaSMedicSvc a zda nejsou nastavené jako zakázané. Dalším příznakem je ruční kontrola aktualizací, která skončí chybou nebo se zasekne bez vysvětlení. Ve spojení s nedávno staženým instalátorem z neznámého webu je to důvod postupovat podle předchozí kapitoly.
