Verkkosivu avaa Windowsin Resurssienhallinnan – ja kansiossa ovat hyökkääjän tiedostot

Verkkosivulla ei ole mitään asiaa sinun tiedostoselaimeesi. Se saa näyttää sivuja ja pudottaa latauksen kansioon, mutta se ei saa avata Windowsin Resurssienhallintaa ja täyttää sitä vieraan palvelimen tiedostoilla.

Juuri sen yksi kalastelukampanja tekee. Se päätyi tutkittavaksi kiusallisella tavalla. Jakelupalvelin jäi auki verkkoon.

Rapid7:n tutkijat kertovat saaneensa talteen 1 048 tiedostoa, mukana houkutinsivujen pohjia, tiedostonimien väärennöskokeita, latureita ja tekijöiden omia muistiinpanoja.

Aineistosta hahmottui kaksi valmista hyökkäysketjua, ja molemmat alkavat samasta visuaalisesta tempusta.

Uhri päätyy sivulle, joka esiintyy virallisena asiointipalveluna. Latauspainikkeen takana ei ole tiedostolinkkiä vaan piilotettu search-ms:-linkki, joka on Windowsin oma hakuprotokolla.

Painallus avaa aidon Resurssienhallinnan ikkunan. Sen sisältö tulee hyökkääjän WebDAV-jaosta, joka on nimetty kosmeettisesti onedriveksi. Etäpalvelimen tiedostot näyttävät ihan tavalliselta kansiolta.

Pdf, joka ei ole pdf

Kansiossa odottaa tiedosto nimeltä ReportFinal.rcs.pdf. Nimessä on oikealta vasemmalle kääntävä ohjausmerkki ja kuvakkeeksi väärennetty pdf-symboli. Oikeasti kyseessä on .scr-päätteinen ohjelmatiedosto.

Suoritus nojaa haavoittuvuuteen CVE-2025-33053, vakavuusarvioltaan 8,8. Aukko on CISAn listalla aktiivisesti hyväksikäytetyistä, ja sen dokumentoi alun perin Check Point Stealth Falcon -tutkimuksessaan.

Missä kohtaa ketju livahtaa turvatarkistusten ohi? Pikakuvaketiedosto käynnistää aidon, allekirjoitetun Windows-ohjelman, mutta ohjaa sen työhakemiston rikollisen jakoon. Allekirjoitettu ohjelma lataa siis aputiedostonsa hyökkääjän palvelimelta.

Tekijöiden omiin muistiinpanoihin on kirjattu, että ketju menee läpi ilman yhtäkään turvallisuusvaroitusta. Windows 11:n 24H2-versio rikkoi alkuperäisen menetelmän, ja tekijät testasivat sen jälkeen 59 muuta allekirjoitettua Windows-ohjelmaa korvaajaa etsiessään.

Lopputuote on .NET-pohjainen tietovaras, joka pyörii allekirjoitetun prosessin sisällä. Se vie selaimeen tallennetut salasanat, evästeet ja istuntotunnisteet, Telegramin istuntotiedot, sähköpostiohjelman tiedot ja kuvakaappauksia sekä työpöydän kryptolompakot. Istuntotunniste on niistä ikävin, koska sillä pääsee tilille ilman salasanaa ja ilman kaksivaiheista tunnistautumista.

Molemmat ketjut päättyvät samaan etähallintatroijalaiseen, PureRATiin.

Houkutin ja tekoälyn jäljet

Houkutinsivu jäljitteli Meksikon virallista CURP-henkilötunnuspalvelua lähes oikean näköisessä osoitteessa. Varsin vakuuttava sovellus pyysi kävijää syöttämään henkilötietonsa ja hakemaan virallisen otteen. Suomalainen vastine olisi väärennetty Suomi.fi- tai Vero-haku, mutta sellaisesta ei ole havaintoja.

Työkalupakista löytyi myös jotain, mistä Rapid7 puhuu varovasti. Dokumentaatio muistuttaa kielimallin tuotosta: emoji-vetoisia README-osioita rajapintadokumentaation tyyliin, testit kohteisiin sitova taulukko ja generoidulle koodille tyypillisiä kommenttikuvioita. Mukana oli jälkiä Coderrr-nimisestä avoimen lähdekoodin tekoälyagentista.

Todistetta tästä ei esitetä. Tutkijat toteavat, että rakenne ja sanamuodot viittaavat mahdolliseen kielimallien käyttöön. Tekijä käytti todennäköisesti tekoälyavusteista työnkulkua – enemmän ohjelmistotiimin kuin yksinäisen rikollisen tapaan.

Kyberturvallisuuskeskus kommentoi tekoälyavusteista kalastelua toukokuussa, tosin aivan toisen kampanjan yhteydessä. Keskus kertoi Microsoftin raporttiin viitaten, että tekoälyllä oli "merkittävä rooli kampanjan laajuudessa ja tehokkuudessa" Microsoft 365 -laitekoodikalastelussa.

– Kyse ei kuitenkaan ole ollut vielä täysin autonomisista hyökkäyksistä, vaan tekoäly toimii ihmisten tukena, Kyberturvallisuuskeskus kirjoittaa.

Entä Suomi? Mittausjaksolla 20.–26.6.2026 palvelimelle tuli 77 098 pyyntöä 3 892 osoitteesta 101 maasta. Suomen osuus oli 401 pyyntöä, kuusi osoitetta ja kymmenen käynnistystä.

Rapid7 arvioi Meksikon ulkopuolisen liikenteen vastaavan pikemminkin skannausta ja automaattista hakua kuin oikeita uhreja, joten suomalaisuhreista luvut eivät kerro mitään. Meksikoon kertyi 82,5 prosenttia pyynnöistä ja 96,9 prosenttia käynnistyksistä.

Tunnistusmerkit

• Linkin klikkaaminen selaimessa avaa Resurssienhallinnan ikkunan. Tämä on aina hyökkäys.
• Kansiopolku alkaa muodolla \\palvelin\... ja päädyit siihen verkkosivulta.
• Kansio esiintyy pilvipalveluna, vaikka et ole avannut mitään pilvipalvelua.
• Tiedosto näyttää pdf-dokumentilta, mutta todellinen pääte on .scr tai .exe.

Mitä tehdä

Kytke tiedostopäätteet näkyviin Resurssienhallinnan näkymäasetuksista, jottei .scr pääse esiintymään pdf-tiedostona.

Sulje ikkuna, jos verkkosivu avaa tiedostoselaimen. Älä avaa mitään sen sisällöstä, vaikka kansio näyttäisi tutulta.

Koneilla, joilla WebDAV ei ole käytössä, WebClient-palvelun voi kytkeä pois. Ulospäin lähtevän WebDAV- ja SMB-liikenteen voi estää palomuurissa.

Viralliset henkilöllisyys-, vero- ja etuuspalvelut kannattaa avata kirjoittamalla osoite itse.

Havainnoista voi ilmoittaa osoitteessa ilmoita.kyberturvallisuuskeskus.fi. Kyberturvallisuuskeskus tai Traficom ei ole toistaiseksi varoittanut juuri tästä menetelmästä Suomessa, joten jokainen kotimainen havainto on arvokas.