駭客製造假應用程式錯誤訊息引誘用戶上當,執行PowerShell指令碼植入惡意程式

駭客製造假應用程式錯誤訊息引誘用戶上當,執行PowerShell指令碼植入惡意程式

駭客製造假應用程式錯誤訊息引誘用戶上當,執行PowerShell指令碼植入惡意程式


資料來源: https://www.ithome.com.tw/news/163513


    資安業者Proofpoint揭露新型態的社交工程攻擊手法,駭客組織ClearFake、TA571聲稱Chrome、Word、OneDrive等應用程式出錯為由,引誘使用者依照指示,複製、貼上並執行PowerShell指令碼,從而導致電腦感染惡意軟體。


    研究人員從今年3月、4月,以及6月初,看到上述兩組人馬運用相關手法從事攻擊行動,但無法確認這些駭客是否有所關連。


    其中,專門以瀏覽器更新為幌子發動攻擊的駭客組織ClearFake,他們主要鎖定的目標是特定網站用戶,駭客先是攻擊網站植入惡意內容,一旦使用者瀏覽這些網站,電腦就有可能載入來自幣安智能鏈(Binance Smart Chain,BSC)的惡意指令碼,而該指令碼又會從另一個網域載入第2個指令碼,其功能是藉由名為Keitaro的流量引導系統(TDS)過濾目標用戶。


    研究人員指出,上述駭客利用區塊鏈隱匿作案工具的手法,他們稱為EtherHiding。


    若是目標使用者仍持續瀏覽受害網站,他們就會看到駭客設置的「錯誤訊息」,宣稱用戶必須依照指示安裝根憑證,才能正常瀏覽網站。


    這個彈出式對話框列出了詳細的操作步驟,首先他們要求使用者按下複製程式碼的按鈕,然後開啟PowerShell,並在主控臺視窗點選滑鼠右鍵,然後等待指令碼執行完成再重新載入網頁。


    然而使用者一旦照做,就會在PowerShell命令列視窗貼上攻擊者的指令碼並執行。他們看到對方清除DNS快取、移除剪貼簿的內容,顯示誘騙訊息,並從遠端取得另一個PowerShell指令碼,在記憶體內執行,而這個指令碼的功能,會確認受害電腦是否是資安人員的測試環境,其方法是檢查電腦是否回傳系統溫度。


    若是通過上述檢查,駭客就會利用經過AES編碼的指令碼部署惡意程式,他們藉由惡意程式載入工具IDAT Loader(也叫做HijackLoader、DOILoader),於受害電腦載入竊資軟體Lumma Stealer,之後,還會再部署挖礦軟體、剪貼簿挾持程式,以及另一個惡意程式載入工具Amadey Loader,企圖植入更多惡意軟體。

2 thoughts on “駭客製造假應用程式錯誤訊息引誘用戶上當,執行PowerShell指令碼植入惡意程式

  1. 也有佯稱Word、OneDrive等應用程式出錯的攻擊手法

    駭客製造假應用程式錯誤訊息引誘用戶上當,執行PowerShell指令碼植入惡意程式

  2. 預防IT詐騙
    01.拒絕在第一時間按照對方指示直接操作
    02.看懂對方指令(確定無危險才能操作)

發表迴響

你的電子郵件位址並不會被公開。 必要欄位標記為 *