Identificamos uma rede de 41 sites que se fazem passar por jogos populares e Windows software, tudo projetado para direcionar os visitantes para o mesmo instalador do Download Studio.
Os sites anunciam de tudo, desde Counter-Strike, Half-Life, Fallout, Roblox, PUBG e The Witcher até VLC, 7-Zip, Paint.NET, VMware, Total Commander e Foxit PDF.
Eles se esforçam ao máximo para parecerem convincentes, usando informações precisas sobre o produto, recursos genuínos dos desenvolvedores e até mesmo links de download reais.
Mas o link que você vê não é o link que você deve seguir.
Um site promete Counter-Strike. Ao passar o cursor sobre o botão de download, o navegador exibe um endereço legítimo da Steam Store. No entanto, ao clicar no botão, a Steam simplesmente não abre.
O link parece seguro ao passar o cursor sobre ele, mas ao clicar, percebe-se o contrário.
Uma das dicas mais antigas de segurança na internet é passar o cursor sobre um link antes de clicar nele e verificar o destino exibido pelo navegador. Recomendamos até mesmo fazer isso ao verificar e-mails em busca de links de phishing e golpes.
Mas não é infalível. Esta campanha mostra como um site pode exibir um destino legítimo quando você passa o cursor sobre um link e, em seguida, redirecioná-lo para um lugar completamente diferente quando você clica nele.
Na página do Counter-Strike, o botão de download contém um URL legítimo da Steam Store. Esse é o endereço que o navegador exibe quando você passa o cursor sobre ele.
Mas o JavaScript na página lida com o clique separadamente. Em vez de seguir o link do Steam, o script cancela a navegação esperada e envia o visitante por meio de um redirecionamento de afiliado.
O URL legítimo do Steam oferece segurança, mas não é o destino real.
A página vai além, incluindo links para recursos genuínos do Steam em seu rodapé e apresentando-se como uma fonte direta de informações técnicas. Essa aparência desaparece no momento em que o botão de download é pressionado.
41 locais, um destino
O site do Counter-Strike não é um exemplo isolado.
Nos 41 sites que identificamos, a marca e os downloads anunciados mudam, mas os visitantes são, em última análise, direcionados para o mesmo software: Download Studio.
Um site, GTA 6 PLAY, afirma oferecer um download para PC do jogo Grand Theft Auto: GTA 6. Theft Auto VI. Ele fornece instruções de instalação, requisitos de sistema e tudo mais que você esperaria de uma página de download de jogos de verdade.
Existe um problema bastante significativo: não há nenhuma versão para PC anunciada para download.
A Rockstar atualmente lista Grand Theft Auto VI para PlayStation 5 e Xbox Series X |S, com data de lançamento prevista para 19 de novembro de 2026. Ainda não foi anunciada uma versão para PC.
Após os visitantes seguirem o processo de download, são exibidas instruções para que instalem o Download Studio. Aqui está um exemplo dessa tela do site do Counter-Strike:
Em outras palavras, o software anunciado é a isca. Instalar o Download Studio é o destino.
As iscas de software são ainda mais convincentes.
A mesma técnica aparece em páginas que anunciam produtos comuns. Windows aplicações.
Uma página falsa do VLC Media Player, por exemplo, coloca um endereço de download legítimo do VideoLAN dentro do botão de download. Ela também identifica os servidores do VideoLAN como a origem do arquivo.
Na época de nossa pesquisa, o VLC 3.0.23 era a versão mais recente do VideoLAN.
Assim, as informações exibidas ao visitante podem ser totalmente precisas. O link pode ser real. A versão pode ser real. O desenvolvedor pode ser identificado corretamente.
Em seguida, o manipulador de cliques sobrepõe-se a tudo isso. Em vez de permitir que o navegador recupere o VLC do VideoLAN, a página envia o visitante para o Download Studio.
Até mesmo os conselhos mais importantes podem te enganar.
O guia do VLC também recomenda verificar a assinatura digital do instalador antes de executá-lo.
Uma assinatura digital permite Windows Para verificar quem assinou um software e se o arquivo assinado foi alterado desde a assinatura.
Para verificar, clique com o botão direito do mouse no arquivo baixado, selecione Propriedades e abra a guia Assinaturas Digitais. Você pode selecionar a assinatura e clicar em Detalhes para ver se ela está presente. Windows considera válido e quem o assinou.
Normalmente, essa é uma verificação útil. Mas o instalador do Download Studio passa nela.
A amostra que examinamos está devidamente assinada pela Grand Media, TOV. Portanto, você pode seguir as recomendações da página e verificar isso. Windows considera a assinatura válida, mas você ainda baixou algo completamente diferente do que pretendia.
Isso porque uma assinatura válida informa quem assinou um arquivo e se o conteúdo assinado foi alterado. Ela não informa se você baixou o programa que pretendia.
A própria documentação do Authenticode da Microsoft faz a mesma distinção. A assinatura de código fornece informações sobre o editor e a integridade de um arquivo. Ela não garante que o software assinado seja confiável.
As iscas incluem softwares de uso diário.
Esta campanha não se limita a pessoas que procuram jogos ainda não lançados.
VLC, 7-Zip, Paint.NET e AIMP são aplicativos legítimos que as pessoas baixam regularmente. Alguém que procura por um deles não está fazendo nada de incomum.
Outras iscas têm como alvo produtos de segurança, backup e recuperação, incluindo Avast, Acronis e Recuva.
Alguém que procura um software de uso diário, ou mesmo um software para proteger ou recuperar o seu computador, pode ser induzido a instalar um programa que nunca solicitou.
O que os sites realmente entregam
A amostra obtida durante nossa pesquisa tem aproximadamente 73 MB. Windows Instalador do Download Studio.
O programa é assinado pela Grand Media, TOV, e a assinatura foi validada com sucesso. Nossa análise constatou que o Download Studio instala e executa sua própria interface e componentes de torrent. O programa registra associações de torrent e magnet links, e seu instalador inclui uma opção para definir o Download Studio como o cliente de torrent padrão.
A instalação também habilita a atualização automática.
É importante ressaltar que nossa análise não comprovou que o Download Studio em si seja um malware. O que esta campanha demonstra claramente é que pessoas que procuram um software estão sendo induzidas, de forma enganosa, a instalar outro.
O redirecionamento inclui rastreamento de afiliados, o que sugere que pode haver um incentivo comercial.
O Download Studio possui um histórico relevante.
Existe outro motivo pelo qual o atualizador automático do Download Studio chamou nossa atenção.
Em 2020, pesquisadores da Avast descobriram que as atualizações automáticas do Download Studio foram usadas para distribuir silenciosamente o FakeMBAM, uma porta dos fundos disfarçada de malware. Malwarebytes instalador.
A Avast monitorou as atualizações do Download Studio e observou a falsificação. Malwarebytes Os instaladores estão sendo entregues e executados da mesma forma que as atualizações legítimas, silenciosamente em segundo plano e sem que os usuários iniciem a instalação conscientemente.
A porta dos fundos podia baixar malware adicional, e as cargas úteis persistentes observadas pela Avast eram mineradores de criptomoedas.
Quando os pesquisadores entraram em contato com os desenvolvedores do Download Studio, eles disseram ter detectado um incidente de segurança envolvendo seu servidor de integração contínua, investigado o ocorrido e implementado medidas de segurança adicionais. A Avast afirmou que os desenvolvedores não responderam a perguntas subsequentes sobre quantos usuários foram afetados ou se eles foram notificados.
A pesquisa também citou a Grand Media e a TOV entre as empresas associadas aos aplicativos envolvidos. O instalador do Download Studio que analisamos nesta pesquisa também é assinado pela Grand Media e pela TOV.
Não há evidências de que o instalador do Download Studio nesta campanha seja malicioso ou de que o mesmo ataque esteja ocorrendo novamente. No entanto, seu mecanismo de atualização automática já foi explorado anteriormente para distribuir malware, o que torna relevante o fato de o instalador atual habilitar atualizações automáticas.
Verifique o que você baixou.
Existe outra verificação simples que expõe a tática de "isca e troca" usada por esses sites.
Clique com o botão direito do mouse no arquivo executável baixado, selecione Propriedades e abra a guia Detalhes .
Para a amostra que examinamos, Descrição do arquivo e Nome do produto Identificar Download Studio, Nome do arquivo original é DS-Setup.exee as informações de direitos autorais mencionam a Grand Media.
Se você clicou em um botão com a etiqueta “Baixar VLC” e esses campos mostram “Baixar Studio”, você tem uma incompatibilidade imediata e óbvia.
A aba Detalhes não comprova que um arquivo é seguro. O fornecedor do software controla essas informações, portanto, um programa malicioso poderia usar nomes e descrições de produtos convincentes.
Em vez disso, examine todo o arquivo baixado: ele veio do desenvolvedor ou de uma loja confiável? Está assinado pela editora que você esperava? E o arquivo se identifica como o programa que você pretendia baixar?
Como se proteger
Existem algumas maneiras simples de evitar cair nesse tipo de golpe de download enganoso:
- Obtenha o software diretamente do site do desenvolvedor ou de uma loja de aplicativos confiável. Para jogos, use uma loja legítima como a Steam ou a loja da própria editora.
- Não confie apenas em passar o cursor sobre um link. Como esta campanha demonstra, uma página pode exibir um destino legítimo e, em seguida, redirecioná-lo para outro lugar quando você clica.
- Uma assinatura digital válida não significa que você tenha o programa correto. Verifique Propriedades > Detalhes e confirme se o nome do produto corresponde ao que você deseja.
- Se uma página de download disser que você precisa instalar um gerenciador de downloads separado primeiro, feche-a.
- Se um jogo não foi lançado para a sua plataforma, um site que alega oferecer um download oficial não pode tê-lo.
- Se o Download Studio já estiver instalado e você não o tiver selecionado, remova-o através de Configurações > Aplicativos e execute uma verificação completa de vírus .
- Malwarebytes Browser Guard bloqueia páginas como essas antes que elas carreguem, o que impede o problema antes que você baixe qualquer coisa.
Indicadores de Compromisso (IOCs)
Hashes de arquivo (SHA-256)
9a3f6e69c12cb814c45862219ecb17e9ab7744877c9da1c49f3ea046437f8fca (DS-Setup.exe)
Indicadores de rede
r.byteengineering[.]net
apis.downloadstud[.]io
downloadstudio[.]net
dstudio[.]app
getdownloadstudio[.]net
4kvideodownloader[.]ru
acronisportal[.]ru
cristalixmine[.]ru,
crystaldisk24[.]ru
csgodownload[.]ru
cupheadplay[.]ru
fallout24[.]ru
farcryplay[.]ru
faststoneportal[.]ru
formatf[.]ru
foxitpdf[.]ru
get7zip[.]ru
getaf[.]ru
getaimp[.]ru
getavast[.]ru
getbandicam[.]ru
getbluestacks[.]ru
getmovavi[.]ru
getrecuva[.]ru
getultraiso[.]ru
getvmware[.]ru
getvuescan[.]ru
gogetter24[.]ru
gta6-play[.]ru
halflife-play[.]ru
memuemulator[.]ru
paintdotnet[.]ru
pdfxchange[.]ru
poppyplaytimeplay[.]ru
pubgplay[.]ru
rdrplay[.]ru
regorganize[.]ru
roblox-play[.]ru
rust-play[.]ru
tcommander[.]ru
tf2play[.]ru
thewitcherplay[.]ru
uninstalltooll[.]ru
vlcmp[.]ru
windowsmp[.]ru
yandereplay[.]ru
Impedir que as ameaças causem qualquer dano.
Browser Guard Malwarebytes Browser Guard páginas de phishing e sites maliciosos automaticamente. É gratuito e se instala com um clique. Adicione-o ao seu navegador →
