Плейбук: вредоносное или подменённое обновление ПО

Остановите установку, если файл обновления пришёл не с площадки вендора или контрольная сумма не совпала. Как сверять суммы заранее: источники ПО. Вредонос уже на станции: вредонос на станции. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Поддельные установщики не запускаем и не «исследуем».

Признаки и что не делать

Письмо «обновите клиент банка», баннер на пиратском зеркале, сумма SHA-256 не та, вендор сам отозвал сборку. Не ставьте «чтобы проверить». Не раздавайте файл коллегам. Не качайте с того же зеркала второй раз.

Первые шаги

Стоп: WSUS/репозиторий/рассылка, очередь установок.
Сверьте хэш с официальной страницей вендора, не с форумом: команда из статьи про источники.
Кто уже поставил — изолируйте как вредонос, пароли с чистой машины, не с этой.
Перечень разрешённого ПО: откуда имели право брать: перечень ПО.
Если сборка ушла из вашего репозитория — считайте компрометацию источника, ключи подписи отзовите.

Приоритет: критический, если ставили на парк или на сервер с ПДн. Эскалация директору. Образ эталона могли испортить — не размножайте его: золотой образ.

Диагностика

Симптом	Причина и что делать
Хэш совпал, поведение странное	Вендор скомпрометирован. Ждите бюллетень, не «чините сами»
Поставили из чата «так быстрее»	Нет источника. Дальше плейбук вредоноса

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Источники и перечень — профилактика. Плейбук — часы после подмены файла.