Winos 4.0 Malware-varning: Skydda din PC från falska NSIS-installatörer

Winos 4.0-malware är en sofistikerad trojan som utnyttjar bedrägliga installerare för att stjäla data och manipulera system. Lär dig hur du skyddar din dator mot denna fara.

Den listiga Winos 4.0-malwarevarianten använder bedrägliga NSIS-installatörer för att utföra flerstegsattacker. Den kan till och med justera Windows Defender-baserad säkerhet för att skapa ett undantag, vilket ger den utrymme att agera. Slutresultatet blir datastöld, registermanipulation och övervakning av datorer. Kolla in våra verifierade lösningar för att stoppa denna ihärdiga malware i spåren.

Varför Winos 4.0 Malware är Farligt

Winos 4.0 är en sofistikerad malwarefamilj, som ursprungligen härstammar från Gh0st RAT. "4.0" är bara ett namn och ingen specifik version av malware. Den har funnits i över ett år. Den 22 maj 2025 meddelade Rapid 7 en Winos 4.0-variant som använder VPN och webbläsarinstallatörer för att injicera payloaden.

Malware släpps som en kedjereaktion, som börjar med en falsk NSIS-applikation, vilket är en korrupt EXE-fil. Installatörernas namn är oskyldiga, såsom QQBrowser_Setup_x64.exe eller Lets.15.0.exe. Det som gör denna malware farlig är dess expertbedrägliga taktik som många användare inte kommer att tveka på.

När du installerar den önskade applikationen dropas extra filer såsom en VBScript-launcher, en PowerShell-loader, en skadlig DLL och konfigurationsfiler. Rapid7 har gett ett namn åt den flerstegs payloaden – Catena loader. För att säkerställa persistens lägger en tyst PowerShell-kommando till undantag för att skydda payloaden. Noterbart är att Winos 4.0-malware kan ligga latent i veckor, för att sedan agera mycket senare.

I slutändan fångar Winos 4.0-malware lösenord och kryptovalutadetaljer, gör registerändringar och övervakar skärmdumpar, webbkamera och mikrofon. Den opererar helt i minnet, som vi såg med Remcos RAT, och lämnar inga spår på din disk, vilket gör den svårupptäckbar av antivirusprogram.

Verifiera Digitala Signaturer av Alla Installatörer

Att kontrollera de digitala signaturerna av vilken applikation du tänker installera håller din PC säker. För detta, högerklicka på applikationen, gå till Egenskaper -> Digitala Signaturer. Klicka på Detaljer -> Visa Certifikat för att kontrollera autenticiteten av installatören.

Här kontrollerar vi den digitala signaturen av QQBrowser, vars malware-varianter med falska NSIS-installatörer är tillgängliga. Denna har dock en genuin giltig signatur av Tencent Technology, företaget bakom QQBrowser.

Aktivera Windows Security App Skydd

Medan Winos 4.0-malware lurar Windows Defender, finns det vissa säkerhetsåtgärder du kan vidta i Windows Security-appen.

Du kan förhindra NSIS-installatörer från att köras. För detta, öppna PowerShell i administratörsläge och kör följande kommando för att minska Attack Surface Area (ASR). Detta är ett utmärkt kommando som inte inför ett generellt förbud, utan bara sållar ut de skadliga installatörerna.

Set-MpPreference -AttackSurfaceReductionRules_Ids 3B576869-A4EC-4529-8536-B80A7769E899 -AttackSurfaceReductionRules_Actions Enabled

Nästa, öppna Windows Security-appen. Gå till Virus & Hot-Skydd -> Virus & Hot-Skydd Inställningar -> Hantera Inställningar. Kontrollera att Realtids-Skydd är aktiverat.

Också, under Virus & Hot-Skydd, scrolla ner för att välja Hantera Ransomware-Skydd. Om Kontrollerat Mappaccess är av, sätt på det igen. Du kan också klicka på Tillåt en App Genom Kontrollerad Mappaccess för att vitlista betrodda appar.

Att göra dessa grundläggande Windows Security-skydd är tillräckligt. Avancerade Windows-användare kan också konfigurera brandväggen för att förhindra Winos 4.0-malware.

Förhindra Winos 4.0 Malware från att Lägga till Undantag till Windows Defender

En listig metod som Winos 4.0-malware utvecklas i systemet är genom att lägga till ett undantag från Windows Defender-skanning. Du kan förhindra detta i förväg.

Öppna PowerShell i administratörsläge. Använd följande kommando för att lägga till körningspolicy för dåliga skript. Klicka A för att bekräfta.

Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy Restricted

Du kan också förhindra allt.

obehöriga uteslutningar från att köra i PowerShell. Detta görs med följande kommando, som täcker alla enhetsbokstäver.

Remove-MpPreference -ExclusionPath C:\,D:\,E:\,F:\,G:\,H:\,I:\,J:\,K:\,L:\,M:\,N:\,O:\,P:\,Q:\,R:\,S:\,T:\,U:\,V:\,W:\,X:\,Y:\,Z:\

Använd Autoruns för att upptäcka fake NSIS poster

Ett Microsoft-program som kallas Autoruns kan användas för att hålla koll på dåliga startprogram, inklusive fejkade NSIS-poster. Detta är ett av de enklaste sätten att fånga Winos 4.0 skadlig programvara och dess varianter innan de kan utföra sina payloads.

Ladda ner Autoruns ZIP-fil från Sysinternals-webbplatsen. Ingen installation behövs. Packa bara upp filen och dubbelklicka på Autoruns64-filen (för Windows 64-system). Här får du en översikt över alla aktiva inloggningar, schemalagda uppgifter och processer. Du kan se poster markerade i rött. Håll utkik efter eventuella NSIS-relaterade poster, som kommer att vara korrekt markerade.

Vi misstänker sällan legitima Windows-appinstallatörer. Så länge de klarar SmartScreen (som du inte ska inaktivera) och Windows Säkerhetskontroller, antar vi ofta att appen är säker, oavsett om det är en VPN eller webbläsare. Det är här författarna till Winos 4.0 skadlig programvara hittar lätt tillgång.

Därför rekommenderar vi att du verifierar din installatörs trovärdighet med ovanstående metoder. Att skydda din PowerShell-fönster från skriptutföranden säkerställer en stor del av säkerheten. Du kan använda VirusTotal och andra webbplatser för att skanna skadlig programvara i installationspaket.

Nu när du har läst klart Winos 4.0 Malware-varning: Skydda din PC från falska NSIS-installatörer, inbjuder vi dig att utforska kategorin Windows ytterligare. Där hittar du fler intressanta artiklar som kommer att utöka dina kunskaper och hålla dig informerad. Sluta inte läsa och upptäcka mer!