Ikke ett antivirus fanget den: Falsk Windows 11-oppdatering tømmer passordlageret ditt

Angrepet skjuler seg bak et typosquattet domene og en falsk KB-artikkel som ligner til forveksling på en ekte kumulativ oppdatering til Windows 11 24H2. Klikker du på nedlastingsknappen, får du ikke en systemoppdatering, men en 83 megabyte stor installasjonsfil som stjeler passord, betalingsopplysninger og innloggingssesjoner.

Kampanjen ble avdekket av sikkerhetsselskapet Malwarebytes tidligere i år, men trusselen er fortsatt aktuell fordi teknikken bak er ny, effektiv og krevende å oppdage. Domenet som brukes i angrepet, er `microsoft-update.support`, og hele oppsettet er bygd for å lure brukere som er vant til å godkjenne Windows-oppdateringer uten å tenke seg om.

Slapp gjennom alle 69 antivirus-motorer

Det som gjør denne kampanjen spesielt farlig, er at den er så godt kamuflert at den nærmest er usynlig for tradisjonell sikkerhetsprogramvare. Ifølge sikkerhetsforskerne som analyserte filen, viste testtjenesten VirusTotal null treff på 69 antivirus-motorer for hovedkjørefilen.

«Et VirusTotal-resultat uten treff betyr ikke at en fil er trygg. Ofte betyr det bare at den skadelige logikken er skjult», advarer Malwarebytes i sin analyse.

Les også: Smart-TV-en din koster deg mye mer enn innkjøpsprisen: Slik ser den skjulte strømregningen ut

Filen heter `WindowsUpdate 1.0.0.msi` og er bygd med den lovlige, åpne verktøykjeden WiX Toolset 4.0.0.5512. Egenskapene til filen er forfalsket slik at Forfatter-feltet står oppført som «Microsoft» og Tittel-feltet som «Installation Database». Selve installasjonspakken ble opprettet 4. april 2026, kort tid før den ble tatt i bruk.

Slik gjemmer skadevaren seg i systemet ditt

Etter installasjon plasserer skadevaren en snarvei kalt «Spotify.lnk» i oppstartmappen, slik at den starter automatisk hver gang PC-en slås på. I tillegg legges det inn en registerverdi kalt «SecurityHealth» som etterligner navnet Microsoft Defender bruker for sin egen helsesjekk-tjeneste.

Skadevaren består av flere lag: en Electron-app med tilslørt JavaScript-kode, kombinert med Visual Basic og Python-komponenter. Den første nyttelasten går løs på krypteringsfunksjonene i nettleseren og henter ut lagrede passord, betalingsopplysninger og øktinformasjon. Den andre nyttelasten er spesialtilpasset Discord og stjeler innloggingstokener og til og med tofaktor-godkjenninger, slik at angriperne kan omgå ekstra sikkerhetslag.

Data sendes ut til flere servere, blant annet infrastruktur som er kamuflert som legitime skytjenester.

Les også: Netflix skroter Squid Game-serie med David Fincher: Satser heller på lokale prosjekter

Slik skiller du en ekte oppdatering fra en falsk

Regelen er enkel, men verd å gjenta: Ekte Windows-oppdateringer kommer aldri fra en nettside du klikker deg inn på. Microsoft leverer sikkerhets- og funksjonsoppdateringer via Innstillinger → Windows Update på selve maskinen, eller via katalogen på `catalog.update.microsoft.com`.

Får du en oppfordring om å laste ned en oppdatering fra en side i nettleseren, uansett hvor offisiell den ser ut, er det svindel. Sjekk at adressen faktisk ender på `microsoft.com` og ikke en variant som `microsoft-update.support` eller lignende typo-varianter.

Har du allerede lastet ned filen, bør du koble PC-en fra nettet, kjøre en full skanning med en oppdatert sikkerhetsløsning og bytte passord på alle viktige tjenester, spesielt e-post, nettbank og kontoer med lagrede betalingskort. Aktiver også tofaktor-godkjenning på nytt der du bruker det, ettersom denne skadevaren har vist at den kan fange opp tokener som allerede er utstedt.

Kampanjen ble opprinnelig sett rettet mot fransktalende brukere, men den samme teknikken er trivielt enkel å tilpasse til andre språk og målgrupper.

Les også: Rundt 19 millioner kroner for tre Pokemon-patroner: Tredje gang pa ni uker retro-spill sprenger prisrekordene

Les også: Google Maps bestiller nå mat for deg: Appen vil gjøre alt på ett sted