攻擊者利用仿冒“微軟激活腳本（MAS）”的拼寫(xiě)錯(cuò)誤域名，分發(fā)惡意PowerShell腳本，使Windows系統(tǒng)感染Cosmali Loader惡意軟件。

安全研究員發(fā)現(xiàn)，有多名MAS工具用戶(hù)在Reddit平臺(tái)反饋，其設(shè)備彈出Cosmali Loader感染預(yù)警提示。

根據(jù)用戶(hù)報(bào)告，攻擊者搭建了仿冒域名“get.activate[.]win”，該域名與MAS官方激活指南中列出的合法域名“get.activated.win”高度相似。兩個(gè)域名僅相差一個(gè)字符（合法域名多一個(gè)“d”），攻擊者正是利用用戶(hù)可能出現(xiàn)的輸入失誤實(shí)施攻擊。

警告信息

安全研究員證實(shí)，這些預(yù)警提示與開(kāi)源惡意軟件Cosmali Loader相關(guān)，且可能與GDATA惡意軟件分析師Karsten Hahn此前發(fā)現(xiàn)的類(lèi)似彈窗預(yù)警同源。

Cosmali Loader會(huì)投放加密挖礦工具與XWorm遠(yuǎn)程控制木馬。目前尚不清楚是誰(shuí)向用戶(hù)推送了預(yù)警信息，但大概率是研究員獲取了該惡意軟件的控制面板權(quán)限后，通過(guò)彈窗告知用戶(hù)設(shè)備已遭入侵。

微軟激活腳本（MAS）是一套開(kāi)源PowerShell腳本集合，通過(guò)硬件ID（HWID）激活、KMS模擬及多種繞過(guò)技術(shù)（如Ohook、TSforge），實(shí)現(xiàn)微軟Windows系統(tǒng)與Office辦公軟件的自動(dòng)化激活。

該項(xiàng)目托管于GitHub平臺(tái)，由開(kāi)發(fā)者公開(kāi)維護(hù)，但微軟將其認(rèn)定為盜版工具——因其通過(guò)未授權(quán)方式規(guī)避許可驗(yàn)證系統(tǒng)，無(wú)需購(gòu)買(mǎi)正版授權(quán)即可激活產(chǎn)品。

MAS項(xiàng)目維護(hù)者已針對(duì)此次攻擊事件發(fā)出安全預(yù)警，提醒用戶(hù)在執(zhí)行命令前仔細(xì)核對(duì)輸入內(nèi)容。同時(shí)建議用戶(hù)若未完全理解遠(yuǎn)程代碼的功能，切勿隨意執(zhí)行；盡量在沙箱環(huán)境中測(cè)試未知腳本；避免手動(dòng)重復(fù)輸入命令，以降低因訪問(wèn)拼寫(xiě)錯(cuò)誤域名而加載危險(xiǎn)載荷的風(fēng)險(xiǎn)。

需注意的是，非官方Windows激活工具已多次被用于傳播惡意軟件，用戶(hù)使用此類(lèi)工具時(shí)需充分認(rèn)識(shí)潛在風(fēng)險(xiǎn)，保持高度警惕。

參考及來(lái)源：https://www.bleepingcomputer.com/news/security/fake-mas-windows-activation-domain-used-to-spread-powershell-malware/