Identificámos uma rede de 41 sites que se fazem passar por jogos populares e Windows software, todos eles concebidos para encaminhar os visitantes para o mesmo Download Instalador de estúdio.
Os sites publicitam desde Counter-Strike, Half-Life, Fallout, Roblox, PUBG e The Witcher até VLC, 7-Zip, Paint.NET, VMware, Total Commander e Foxit PDF.
Esforçam-se ao máximo para parecerem convincentes, utilizando informações precisas sobre o produto, recursos genuínos dos programadores e até mesmo links de download reais.
Mas o link que vê não é o link que deve seguir.
Um site promete Counter-Strike. Ao passar o cursor sobre o botão de download, o browser apresenta um endereço legítimo da Steam Store. No entanto, ao clicar no botão, a Steam simplesmente não abre.
O link parece seguro ao passar o cursor por cima, mas ao clicar, percebe-se o contrário.
Uma das dicas mais antigas de segurança na internet é passar o cursor sobre um link antes de clicar nele e verificar o destino apresentado pelo browser. Recomendamos até que o faça ao verificar os e-mails em busca de links de phishing e fraudes.
Mas não é infalível. Esta campanha mostra como um website pode exibir um destino legítimo quando passa o cursor sobre um link e, em seguida, redirecioná-lo para um lugar completamente diferente quando clica nele.
Na página do Counter-Strike, o botão de download contém um URL legítimo da Steam Store. Este é o endereço que o browser apresenta quando passa o cursor sobre ele.
Mas o JavaScript na página trata do clique separadamente. Em vez de seguir o link do Steam, o script cancela a navegação esperada e envia o visitante através de um redireccionamento de afiliado.
O URL legítimo do Steam oferece segurança, mas não é o destino real.
A página vai mais além, incluindo links para recursos genuínos do Steam no seu rodapé e apresentando-se como uma fonte direta de informação técnica. Esta aparência desaparece no momento em que o botão de download é pressionado.
41 locais, um destino
O site do Counter-Strike não é um exemplo isolado.
Nos 41 sites que identificámos, a marca e os downloads anunciados mudam, mas os visitantes são, em última análise, direcionados para o mesmo software: Download Estúdio.
Um site, GTA 6 PLAY, afirma oferecer um download para PC do jogo Grand Theft Auto: GTA 6. Theft Auto VI. Fornece instruções de instalação, requisitos de sistema e tudo o mais que se espera de uma página de download de jogos reais.
Existe um problema bastante significativo: não existe nenhuma versão para PC anunciada para download.
A Rockstar lista atualmente Grand Theft Auto VI para PlayStation 5 e Xbox Series X |S, com data de lançamento prevista para 19 de novembro de 2026. Ainda não foi anunciada uma versão para PC.
Após os visitantes seguirem o processo de download, são apresentadas instruções para a instalação. Download Estúdio. Aqui está um exemplo deste ecrã do site do Counter-Strike:
Por outras palavras, o software anunciado é o engodo. Instalação Download O estúdio é o destino.
As iscas de software são ainda mais convincentes.
A mesma técnica surge em páginas que publicitam produtos comuns. Windows aplicações.
Uma página falsa do VLC Media Player, por exemplo, coloca um endereço de download legítimo do VideoLAN dentro do botão de download. Identifica também os servidores do VideoLAN como a origem do ficheiro.
Na altura da nossa pesquisa, o VLC 3.0.23 era a versão mais recente do VideoLAN.
Assim, as informações exibidas ao visitante podem ser totalmente precisas. O link pode ser real. A versão pode ser real. O programador pode ser identificado corretamente.
Então, o manipulador de cliques sobrepõe-se a tudo isto. Em vez de permitir que o browser recupere o VLC do VideoLAN, a página envia o visitante para Download Estúdio.
Até os conselhos mais importantes podem enganá-lo.
O guia do VLC recomenda também verificar a assinatura digital do instalador antes de o executar.
Uma assinatura digital permite Windows Para verificar quem subscreveu um software e se o ficheiro assinado foi alterado desde a subscrição.
Para verificar, clique com o botão direito do rato no ficheiro descarregado, selecione Propriedades e abra o separador Assinaturas Digitais. Pode selecionar a assinatura e clicar em Detalhes para ver se está presente. Windows considera válido e quem o assinou.
Normalmente, esta é uma verificação útil. Mas o Download O instalador do Studio passa no teste.
A amostra que examinámos está devidamente assinada pela Grand Media, TOV. Portanto, pode seguir as recomendações da página e verificar isso. Windows considera a assinatura válida, mas ainda assim descarregou algo completamente diferente do que pretendia.
Isto porque uma assinatura válida informa quem assinou um ficheiro e se o conteúdo assinado foi alterado. Não informa se descarregou o programa que pretendia.
A própria documentação do Authenticode da Microsoft faz a mesma distinção. A assinatura de código fornece informações sobre o editor e a integridade de um ficheiro. Não garante que o software assinado seja fiável.
As iscas incluem software de uso diário.
Esta campanha não se limita a pessoas que procuram jogos ainda não lançados.
VLC, 7-Zip, Paint.NET e AIMP são aplicações legítimas que as pessoas descarregam regularmente. Alguém que procura um deles não está a fazer nada de invulgar.
Outras amostras têm como alvo produtos de segurança, backup e recuperação, incluindo Avast, Acronis e Recuva.
Alguém que procure um software de uso diário, ou mesmo um software para proteger ou recuperar o seu computador, pode ser induzido a instalar um programa que nunca solicitou.
O que os sites realmente entregam
A amostra obtida durante a nossa pesquisa tem aproximadamente 73 MB. Windows instalador para Download Estúdio.
O documento é assinado pela Grand Media, TOV, e a assinatura foi validada com sucesso. A nossa análise constatou Download O Studio instala e inicia a sua própria interface e componentes de torrent. O programa regista as associações de torrent e magnet, e o seu instalador inclui uma opção para criar Download O Studio é o cliente de torrent padrão.
A instalação também ativa a atualização automática.
É importante realçar que a nossa análise não estabeleceu que Download O próprio Studio é um malware. O que esta campanha demonstra claramente é que as pessoas que procuram um software estão a ser enganadas e induzidas a instalar outro.
O redirecionamento inclui o rastreio de afiliados, o que sugere que pode haver um incentivo comercial.
Download O estúdio possui um histórico relevante.
Há outro motivo. Download O atualizador automático do Studio chamou a nossa atenção.
Em 2020, investigadores da Avast descobriram que Download As atualizações automáticas do Studio foram utilizadas para distribuir silenciosamente o FakeMBAM, uma porta traseira disfarçada de... Malwarebytes instalador.
Monitorizado pelo Avast Download As atualizações do estúdio e a observação da falsificação Malwarebytes Os instaladores estão a ser entregues e executados da mesma forma que as atualizações legítimas, silenciosamente em segundo plano e sem que os utilizadores iniciem a instalação de forma consciente.
A porta das traseiras podia descarregar malware adicional, e as cargas úteis persistentes observadas pela Avast eram mineiros de criptomoedas.
Quando os investigadores entraram em contacto Download Os programadores do Studio afirmaram ter detetado um incidente de segurança envolvendo o seu servidor de integração contínua, investigado o sucedido e implementado medidas de segurança adicionais. A Avast informou que os programadores não responderam a perguntas subsequentes sobre quantos utilizadores foram afetados ou se foram notificados.
A pesquisa citou ainda a Grand Media e a TOV entre as empresas associadas às aplicações envolvidas. Download O instalador de estúdio que analisámos nesta campanha tem também a assinatura da Grand Media, TOV.
Não há evidências de que Download O instalador do Studio nesta campanha é malicioso ou o mesmo ataque está a ocorrer novamente. Mas o seu mecanismo de atualização automática já foi utilizado indevidamente para distribuir malware, o que torna relevante o facto de o instalador atual ativar as atualizações automáticas.
Verifique o que descarregou.
Existe outra verificação simples que expõe a tática de "engodo e troca" utilizada por estes sites.
Clique com o botão direito do rato no ficheiro executável descarregado, selecione Propriedades e abra o separador Detalhes .
Para a amostra que examinámos, Descrição do ficheiro e Nome do produto identificar Download Estúdio, Nome do ficheiro original é DS-Setup.exee as informações de direitos de autor mencionam a Grand Media.
Se clicou num botão com a etiqueta “ Download VLC” e estes campos dizem “ Download "Estúdio" significa que tem uma incompatibilidade imediata e evidente.
O separador Detalhes não comprova que um ficheiro é seguro. O fornecedor do software controla esta informação, pelo que um programa malicioso poderia utilizar nomes e descrições de produtos convincentes.
Em vez disso, examine todo o ficheiro descarregado: veio do programador ou de uma loja fidedigna? Está assinado pela editora que esperava? E o ficheiro identifica-se como o programa que pretendia descarregar?
Como se proteger
Existem algumas formas simples de evitar cair neste tipo de fraude de download enganadora:
- Obtenha o software diretamente do site do programador ou de uma loja de aplicações de confiança. Para jogos, utilize uma loja legítima como a Steam ou a loja da própria editora.
- Não confie apenas em passar o cursor sobre um link. Como esta campanha demonstra, uma página pode exibir um destino legítimo e, em seguida, redirecioná-lo para outro lugar quando clica.
- Uma assinatura digital válida não significa que tenha o programa correto. Verifique Propriedades > Detalhes e confirme se o nome do produto corresponde ao que pretende.
- Se uma página de download disser que precisa de instalar primeiro um gestor de downloads separado, feche-a.
- Se um jogo não foi lançado para a sua plataforma, um site que alega oferecer um download oficial não pode tê-lo.
- Se Download O Studio já está instalado e não o selecionou. Remova-o através de Definições > Aplicações e execute uma verificação completa de vírus .
- Malwarebytes Browser Guard bloqueia páginas como estas antes de carregarem, o que impede o problema antes de descarregar o que quer que seja.
Indicadores de compromisso (IOCs)
Hashes de ficheiro (SHA-256)
9a3f6e69c12cb814c45862219ecb17e9ab7744877c9da1c49f3ea046437f8fca (DS-Setup.exe)
Indicadores de rede
r.byteengineering[.]net
apis.downloadstud[.]io
downloadstudio[.]net
dstudio[.]app
getdownloadstudio[.]net
4kvideodownloader[.]ru
acronisportal[.]ru
cristalixmine[.]ru,
crystaldisk24[.]ru
csgodownload[.]ru
cupheadplay[.]ru
fallout24[.]ru
farcryplay[.]ru
faststoneportal[.]ru
formatf[.]ru
foxitpdf[.]ru
get7zip[.]ru
getaf[.]ru
getaimp[.]ru
getavast[.]ru
getbandicam[.]ru
getbluestacks[.]ru
getmovavi[.]ru
getrecuva[.]ru
getultraiso[.]ru
getvmware[.]ru
getvuescan[.]ru
gogetter24[.]ru
gta6-play[.]ru
halflife-play[.]ru
memuemulator[.]ru
paintdotnet[.]ru
pdfxchange[.]ru
poppyplaytimeplay[.]ru
pubgplay[.]ru
rdrplay[.]ru
regorganize[.]ru
roblox-play[.]ru
rust-play[.]ru
tcommander[.]ru
tf2play[.]ru
thewitcherplay[.]ru
uninstalltooll[.]ru
vlcmp[.]ru
windowsmp[.]ru
yandereplay[.]ru
Impedir as ameaças antes que causem qualquer dano.
Malwarebytes Browser Guard Bloqueia automaticamente páginas de phishing e sites maliciosos. Gratuito, instalação com um clique. Adicione ao seu browser →
