Повеќе од 70 популарни апликации за Windows добиле свои лажни копии на домени што намерно личат на официјалните, а кај дел од нив веќе е потврдено дека дистрибуираат малициозен софтвер. На списокот се и PowerToys, CrystalDiskMark, EasyBCD, Lively Wallpaper и Wintoys, што значи дека станува збор за алатки со милиони преземања.
Откритието дојде од развивачот на Wintoys, кој при вообичаено пребарување на името на својата апликација наишол на домен што никогаш не го купил. Страницата била изградена на WordPress, со генерички текст создаден со вештачка интелигенција и со старото лого на проектот, а копчето за преземање водело до вистинскиот запис во Microsoft Store, па токму поради тоа никој не се посомневал. Понатамошното истражување открило список од 72 домени регистрирани преку ист сопственик, прво кај Epik Inc., а во јули префрлени кај Dynadot.
Според анализата на Check Point Research, шемата се одвива во три чекори. Најпрво страниците градат рангирање во пребарувачите, потоа изгледаат безопасно бидејќи водат кон вистинските извори, па дури откако ќе стекнат доверба и посетеност, линковите тивко се заменуваат со малициозни датотеки.
Истражувачите пронашле семејства како RemusStealer, кој краде податоци од над 20 прелистувачи и од паричници за криптовалути, како и AnimateClipper, кој ја заменува копираната адреса на паричник со онаа на напаѓачот. Дел од домените го градат своето рангирање уште од септември 2025 година, а дистрибуцијата на малициозен софтвер започнала во јануари 2026 година.
Кај Lively Wallpaper е потврден инсталер што покрај легитимна датотека носел и непотпишана DLL-библиотека, која инсталирала постојана услуга за далечински пристап. Тимот на SignalRGB, пак, пријавил две лажни адреси што се качиле високо и во резултатите на Bing.
Cloudflare реагираше за помалку од еден час на пријавата за wintoys.app, но нивниот образец прифаќа само по еден домен, па останатите 71 сè уште се недопрени. Јасно е дека одбраната засега паѓа на самите корисници, па Microsoft Store или официјалната GitHub страница остануваат најсигурниот избор, а проверката на адресата во прелистувачот трае неколку секунди.
