Provera linka pre klika nije dovoljna: lažni sajtovi nude popularne programe i igre

Vesti, 21.08.2026, 00:30 AM

Istraživači kompanije Malwarebytes otkrili su mrežu od 41 sajta koji se predstavljaju kao sajtovi za preuzimanje popularnih igara i Windows programa, ali korisnicima umesto željenog softvera nude Download Studio. Kampanja je posebno zanimljiva jer sajtovi koriste stvarne podatke o programima, legitimne linkove i validno digitalno potpisan instalacioni fajl, zbog čega čak ni neke uobičajene provere nisu dovoljne da korisnik primeti prevaru.

Lažni sajtovi nude veoma različite programe i igre, od Counter-Strike-a, Half-Life-a, Fallout-a, Roblox-a, PUBG-a i The Witcher-a do VLC-a, 7-Zip-a, Paint.NET-a, VMware-a, Total Commander-a i Foxit PDF-a.

Na prvi pogled, neki od sajtova deluju prilično uverljivo. Koriste tačne informacije o programima, navode stvarne programere, aktuelne verzije softvera, a pojedini linkovi za preuzimanje zaista vode ka legitimnim adresama.

Problem nastaje kada korisnik klikne na link.

Na sajtu koji navodno nudi Counter-Strike, na primer, prelazak mišem preko dugmeta za preuzimanje prikazuje stvarnu adresu Steam prodavnice. Korisnik koji proverava link pre nego što klikne zato nema očigledan razlog za sumnju. Međutim, klik na dugme ne otvara Steam.

JavaScript na stranici presreće klik, sprečava otvaranje adrese prikazane u pregledaču i korisnika preusmerava preko partnerskog linka ka drugom softveru. Drugim rečima, link koji korisnik vidi nije nužno link koji će pregledač otvoriti nakon klika.

Ista tehnika pronađena je na ukupno 41 sajtu. Menjaju se izgled sajta i program koji se navodno nudi, ali je krajnji cilj isti — instaliranje programa Download Studio.

Jedan od sajtova ide toliko daleko da nudi PC verziju igre Grand Theft Auto VI, zajedno sa instrukcijama za instalaciju. Problem je što PC verzija igre nije najavljena. Rockstar trenutno navodi GTA VI za PlayStation 5 i Xbox Series X|S, dok sajt korisnika na kraju procesa preuzimanja ponovo usmerava na instaliranje Download Studio-a.

Još uverljiviji primer je lažna stranica za VLC Media Player. Dugme na njoj sadrži stvarnu VideoLAN adresu, navodi VideoLAN server kao izvor fajla i prikazuje ispravnu aktuelnu verziju VLC-a. Sve informacije koje korisnik može da proveri izgledaju legitimno. Ipak, klik ponovo preusmerava ka Download Studio-u.

Stranica čak savetuje korisnicima da provere digitalni potpis instalacionog fajla pre nego što ga pokrenu, što je inače korisna bezbednosna preporuka. Ali ni ta provera ovde ne otkriva problem.

Instalacioni fajl Download Studio-a koji su istraživači analizirali ima važeći digitalni potpis kompanije Grand Media, TOV. Windows zato može da potvrdi da je potpis validan i da fajl nakon potpisivanja nije izmenjen. To, međutim, ne znači da je korisnik dobio program koji je želeo.

Digitalni potpis potvrđuje ko je potpisao fajl i njegov integritet, ali ne garantuje da je softver bezbedan niti da je to aplikacija koju je korisnik nameravao da preuzme.

Analizirani instalacioni fajl veličine je oko 73 MB i instalira Download Studio, zajedno sa komponentama za torrent sadržaj. Program registruje torrent i magnet linkove, može biti postavljen kao podrazumevani torrent klijent i uključuje automatsko ažuriranje.

Istraživači naglašavaju da nisu primetili da je Download Studio koji se distribuira u ovoj kampanji zlonameran. Ono što je jasno jeste da korisnici koji pokušavaju da preuzmu jedan program obmanom završavaju sa instaliranjem potpuno drugog.

Preusmeravanja sadrže i affiliate oznake, što ukazuje da iza kampanje može postojati finansijski motiv.

Download Studio, međutim, ima zanimljivu istoriju. Istraživači kompanije Avast su 2020. godine otkrili da je njegov sistem automatskog ažuriranja bio zloupotrebljen za distribuciju backdoora FakeMBAM, maskiranog kao instalacija Malwarebytes-a. Zlonamerni program mogao je da preuzima dodatni malver, a među payloadima koje je Avast tada uočio bili su i rudari kriptovaluta.

Nema dokaza da se ista stvar događa u sadašnjoj kampanji niti da je trenutna verzija Download Studio-a zlonamerna, ali istraživači smatraju da je prethodna zloupotreba njegovog sistema za automatsko ažuriranje vredna pažnje.

Korisnici mogu da otkriju ovu konkretnu zamenu i jednostavnom proverom fajla koji su upravo preuzeli.

U Windows-u se u Properties > Details mogu videti naziv proizvoda, opis fajla i originalni naziv izvršnog fajla. U analiziranom uzorku jasno se navode Download Studio i naziv DS-Setup.exe.

Ako je korisnik kliknuo na dugme „Download VLC“, a preuzeti fajl se predstavlja kao Download Studio, očigledno je da nije dobio ono što je nameravao da instalira.

Ipak, ni podacima iz tog prozora ne treba bezuslovno verovati, jer ih određuje izdavač softvera.

Najsigurniji način ostaje preuzimanje programa direktno sa zvaničnog sajta programera ili iz pouzdane prodavnice aplikacija. Ova kampanja pokazuje i da provera linka prelaskom miša preko njega više nije dovoljna: sajt može prikazati potpuno legitimnu adresu, a zatim klik na link poslati korisnika na sasvim drugo mesto.