Sprawę opisał deweloper Wintoys, działający jako Bogdan_X. Na Reddicie zwrócił uwagę na domenę wintoys[.]app, choć nie należy ona do twórcy programu. Strona zawierała nieścisłe informacje, ale odsyłała do oficjalnej aplikacji w Microsoft Store.
Na dole tej witryny znalazło się zastrzeżenie: "Brak powiązań z Wintoys. To niezależna strona udostępniająca dokumentację, poradniki i linki do oficjalnych repozytoriów projektu". Jednocześnie po wejściu na stronę przeglądarka Chrome pokazywała ostrzeżenie Cloudflare o podejrzeniu phishingu.
Bogdan_X sprawdził dane właściciela domeny i ustalił, że kontaktowy adres e-mail łączy się z ponad 70 innymi stronami. Wszystkie mają podszywać się pod aplikacje Windows. Wśród przykładów wymieniono m.in. PowerToys, CrystalDiskMark, WinUtil, EasyBCD i FreeFileSync.
WIDEOInfrastruktura rośnie szybciej niż sprzedaż samochodów elektrycznych
Część domen pozostaje jeszcze w budowie, co może sugerować, że akcja ruszyła niedawno. W opublikowanej liście pojawiają się m.in. powertoys[.]app, power-toys[.]com, crystaldiskinfo[.]app, crystaldiskmark[.]net, winutil[.]app, quickassistapp[.]com i notatnikonline[.]com.
Na razie nie wiadomo, jaki jest dokładny cel tej operacji. Jak wynika z opisu, fałszywe strony nie wykonują dziś działań, które byłyby jednoznacznie złośliwe. Możliwy scenariusz zakłada jednak zdobywanie ruchu i wiarygodności, a dopiero później podmianę linków do pobierania na pliki z malware.
Deweloper zgłosił wykryte domeny do rejestratora, który zakończył obsługę oszusta. Problem nie zniknął, bo właściciel przeniósł się do innego rejestratora. Według dostępnych informacji użytkownicy i twórcy aplikacji powinni zgłaszać takie przypadki także dostawcom hostingu i uważnie sprawdzać adres URL przed pobraniem programu.
Redaktor Prowadzący dobreprogramy.pl, dziennikarz obszaru Technologie w Wirtualnej Polsce. Śledzi tematykę cyberbezpieczeństwa, systemów operacyjnych, aplikacji "dla każdego" oraz technologii w świecie motoryzacji i smart home. W branży od 2014 roku.
