Identificámos uma rede de 41 sites que se fazem passar por jogos populares e Windows software, tudo concebido para encaminhar os visitantes para o mesmo instalador do Download Studio.
Os sites publicitam desde Counter-Strike, Half-Life, Fallout, Roblox, PUBG e The Witcher até VLC, 7-Zip, Paint.NET, VMware, Total Commander e Foxit PDF.
Esforçam-se ao máximo para parecerem convincentes, utilizando informações precisas sobre o produto, recursos genuínos dos programadores e até mesmo links de download reais.
Mas o link que vê não é o link que deve seguir.
Um site promete Counter-Strike. Ao passar o cursor sobre o botão de download, o browser apresenta um endereço legítimo da Steam Store. No entanto, ao clicar no botão, a Steam simplesmente não abre.
O link parece seguro ao passar o cursor por cima, mas ao clicar, percebe-se o contrário.
Uma das dicas mais antigas de segurança na internet é passar o cursor sobre um link antes de clicar nele e verificar o destino apresentado pelo browser. Recomendamos até que o faça ao verificar os e-mails em busca de links de phishing e fraudes.
Mas não é infalível. Esta campanha mostra como um website pode exibir um destino legítimo quando passa o cursor sobre um link e, em seguida, redirecioná-lo para um lugar completamente diferente quando clica nele.
Na página do Counter-Strike, o botão de download contém um URL legítimo da Steam Store. Este é o endereço que o browser apresenta quando passa o cursor sobre ele.
Mas o JavaScript na página trata do clique separadamente. Em vez de seguir o link do Steam, o script cancela a navegação esperada e envia o visitante através de um redireccionamento de afiliado.
O URL legítimo do Steam oferece segurança, mas não é o destino real.
A página vai mais além, incluindo links para recursos genuínos do Steam no seu rodapé e apresentando-se como uma fonte direta de informação técnica. Esta aparência desaparece no momento em que o botão de download é pressionado.
41 locais, um destino
O site do Counter-Strike não é um exemplo isolado.
Nos 41 sites que identificámos, a marca e os downloads anunciados mudam, mas os visitantes são, em última análise, direcionados para o mesmo software: Download Studio.
Um site, GTA 6 PLAY, afirma oferecer um download para PC do jogo Grand Theft Auto: GTA 6. Theft Auto VI. Fornece instruções de instalação, requisitos de sistema e tudo o mais que se espera de uma página de download de jogos reais.
Existe um problema bastante significativo: não existe nenhuma versão para PC anunciada para download.
A Rockstar lista atualmente Grand Theft Auto VI para PlayStation 5 e Xbox Series X |S, com data de lançamento prevista para 19 de novembro de 2026. Ainda não foi anunciada uma versão para PC.
Após os visitantes seguirem o processo de download, são apresentadas instruções para que instalem o Download Studio. Aqui está um exemplo deste ecrã do site do Counter-Strike:
Por outras palavras, o software anunciado é o engodo. Instalar o Download Studio é o destino.
As iscas de software são ainda mais convincentes.
A mesma técnica surge em páginas que publicitam produtos comuns. Windows aplicações.
Uma página falsa do VLC Media Player, por exemplo, coloca um endereço de download legítimo do VideoLAN dentro do botão de download. Identifica também os servidores do VideoLAN como a origem do ficheiro.
Na altura da nossa pesquisa, o VLC 3.0.23 era a versão mais recente do VideoLAN.
Assim, as informações exibidas ao visitante podem ser totalmente precisas. O link pode ser real. A versão pode ser real. O programador pode ser identificado corretamente.
Em seguida, o manipulador de cliques sobrepõe-se a tudo isto. Em vez de permitir que o browser recupere o VLC do VideoLAN, a página envia o visitante para o Download Studio.
Até os conselhos mais importantes podem enganá-lo.
O guia do VLC recomenda também verificar a assinatura digital do instalador antes de o executar.
Uma assinatura digital permite Windows Para verificar quem subscreveu um software e se o ficheiro assinado foi alterado desde a subscrição.
Para verificar, clique com o botão direito do rato no ficheiro descarregado, selecione Propriedades e abra o separador Assinaturas Digitais. Pode selecionar a assinatura e clicar em Detalhes para ver se está presente. Windows considera válido e quem o assinou.
Normalmente, esta é uma verificação útil. Mas o instalador do Download Studio passa por ela.
A amostra que examinámos está devidamente assinada pela Grand Media, TOV. Portanto, pode seguir as recomendações da página e verificar isso. Windows considera a assinatura válida, mas ainda assim descarregou algo completamente diferente do que pretendia.
Isto porque uma assinatura válida informa quem assinou um ficheiro e se o conteúdo assinado foi alterado. Não informa se descarregou o programa que pretendia.
A própria documentação do Authenticode da Microsoft faz a mesma distinção. A assinatura de código fornece informações sobre o editor e a integridade de um ficheiro. Não garante que o software assinado seja fiável.
As iscas incluem software de uso diário.
Esta campanha não se limita a pessoas que procuram jogos ainda não lançados.
VLC, 7-Zip, Paint.NET e AIMP são aplicações legítimas que as pessoas descarregam regularmente. Alguém que procura um deles não está a fazer nada de invulgar.
Outras amostras têm como alvo produtos de segurança, backup e recuperação, incluindo Avast, Acronis e Recuva.
Alguém que procure um software de uso diário, ou mesmo um software para proteger ou recuperar o seu computador, pode ser induzido a instalar um programa que nunca solicitou.
O que os sites realmente entregam
A amostra obtida durante a nossa pesquisa tem aproximadamente 73 MB. Windows Instalador do Download Studio.
O programa é subscrito pela Grand Media, TOV, e a subscrição foi validada com sucesso. A nossa análise constatou que o Download Studio instala e executa a sua própria interface e componentes de torrent. O programa regista as associações de torrent e magnet links, e o seu instalador inclui uma opção para definir o Download Studio como o cliente de torrent predefinido.
A instalação também ativa a atualização automática.
É importante salientar que a nossa análise não comprovou que o Download Studio em si seja um malware. O que esta campanha demonstra claramente é que as pessoas que procuram um software estão a ser induzidas, de forma enganadora, a instalar outro.
O redirecionamento inclui o rastreio de afiliados, o que sugere que pode haver um incentivo comercial.
O Download Studio possui um histórico relevante.
Existe outro motivo pelo qual o atualizador automático do Download Studio nos chamou a atenção.
Em 2020, os investigadores da Avast descobriram que as atualizações automáticas do Download Studio foram utilizadas para distribuir silenciosamente o FakeMBAM, uma porta das traseiras disfarçada de malware. Malwarebytes instalador.
A Avast monitorizou as atualizações do Download Studio e observou a falsificação. Malwarebytes Os instaladores estão a ser entregues e executados da mesma forma que as atualizações legítimas, silenciosamente em segundo plano e sem que os utilizadores iniciem a instalação conscientemente.
A porta das traseiras podia descarregar malware adicional, e as cargas úteis persistentes observadas pela Avast eram mineiros de criptomoedas.
Quando os investigadores contactaram os programadores do Download Studio, estes disseram ter detetado um incidente de segurança envolvendo o seu servidor de integração contínua, investigado o sucedido e implementado medidas de segurança adicionais. A Avast afirmou que os programadores não responderam a perguntas subsequentes sobre quantos utilizadores foram afetados ou se foram notificados.
A pesquisa citou ainda a Grand Media e a TOV entre as empresas associadas às aplicações envolvidas. O instalador do Download Studio que analisámos nesta pesquisa também está subscrito pela Grand Media e pela TOV.
Não há evidências de que o instalador do Download Studio nesta campanha seja malicioso ou de que o mesmo ataque esteja a ocorrer novamente. No entanto, o seu mecanismo de atualização automática já foi explorado anteriormente para distribuir malware, o que torna relevante o facto de o instalador atual ativar atualizações automáticas.
Verifique o que descarregou.
Existe outra verificação simples que expõe a tática de "engodo e troca" utilizada por estes sites.
Clique com o botão direito do rato no ficheiro executável descarregado, selecione Propriedades e abra o separador Detalhes .
Para a amostra que examinámos, Descrição do ficheiro e Nome do produto Identificar o Download Studio, Nome do ficheiro original é DS-Setup.exee as informações de direitos de autor mencionam a Grand Media.
Se clicou num botão com a etiqueta “Descarregar VLC” e estes campos mostram “Descarregar Studio”, tem uma incompatibilidade imediata e óbvia.
O separador Detalhes não comprova que um ficheiro é seguro. O fornecedor do software controla esta informação, pelo que um programa malicioso poderia utilizar nomes e descrições de produtos convincentes.
Em vez disso, examine todo o ficheiro descarregado: veio do programador ou de uma loja fidedigna? Está assinado pela editora que esperava? E o ficheiro identifica-se como o programa que pretendia descarregar?
Como se proteger
Existem algumas formas simples de evitar cair neste tipo de fraude de download enganadora:
- Obtenha o software diretamente do site do programador ou de uma loja de aplicações de confiança. Para jogos, utilize uma loja legítima como a Steam ou a loja da própria editora.
- Não confie apenas em passar o cursor sobre um link. Como esta campanha demonstra, uma página pode exibir um destino legítimo e, em seguida, redirecioná-lo para outro lugar quando clica.
- Uma assinatura digital válida não significa que tenha o programa correto. Verifique Propriedades > Detalhes e confirme se o nome do produto corresponde ao que pretende.
- Se uma página de download disser que precisa de instalar primeiro um gestor de downloads separado, feche-a.
- Se um jogo não foi lançado para a sua plataforma, um site que alega oferecer um download oficial não pode tê-lo.
- Se o Download Studio já estiver instalado e não o tiver seleccionado, remova-o através de Definições > Aplicações e execute uma verificação completa de vírus .
- Malwarebytes Browser Guard bloqueia páginas como estas antes de carregarem, o que impede o problema antes de descarregar o que quer que seja.
Indicadores de compromisso (IOCs)
Hashes de ficheiro (SHA-256)
9a3f6e69c12cb814c45862219ecb17e9ab7744877c9da1c49f3ea046437f8fca (DS-Setup.exe)
Indicadores de rede
r.byteengineering[.]net
apis.downloadstud[.]io
downloadstudio[.]net
dstudio[.]app
getdownloadstudio[.]net
4kvideodownloader[.]ru
acronisportal[.]ru
cristalixmine[.]ru,
crystaldisk24[.]ru
csgodownload[.]ru
cupheadplay[.]ru
fallout24[.]ru
farcryplay[.]ru
faststoneportal[.]ru
formatf[.]ru
foxitpdf[.]ru
get7zip[.]ru
getaf[.]ru
getaimp[.]ru
getavast[.]ru
getbandicam[.]ru
getbluestacks[.]ru
getmovavi[.]ru
getrecuva[.]ru
getultraiso[.]ru
getvmware[.]ru
getvuescan[.]ru
gogetter24[.]ru
gta6-play[.]ru
halflife-play[.]ru
memuemulator[.]ru
paintdotnet[.]ru
pdfxchange[.]ru
poppyplaytimeplay[.]ru
pubgplay[.]ru
rdrplay[.]ru
regorganize[.]ru
roblox-play[.]ru
rust-play[.]ru
tcommander[.]ru
tf2play[.]ru
thewitcherplay[.]ru
uninstalltooll[.]ru
vlcmp[.]ru
windowsmp[.]ru
yandereplay[.]ru
Impedir as ameaças antes que causem qualquer dano.
Browser Guard Malwarebytes Browser Guard automaticamente páginas de phishing e sites maliciosos. É gratuito e instala-se com um clique. Adicione-o ao seu navegador →
