關(guān)鍵詞

黑客

Huntress 的研究人員在看似普通廣告軟件中，發(fā)現(xiàn)了一個復(fù)雜的潛在威脅。研究顯示，只需 10 美元就能買到的一個未注冊域名，竟可讓惡意行為者悄然控制全球超過 2.5 萬個受感染終端。

此次調(diào)查的核心軟件由 Dragon Boss Solutions 簽名，該公司自稱是一家位于阿聯(lián)酋的搜索盈利化研究公司。

長期以來，這款軟件被歸類為具有瀏覽器劫持能力的潛在不受歡迎程序（PUP）。但 Huntress 研究人員分析發(fā)現(xiàn)，它已悄然演變成一種更為危險的程序。

從 2025 年 3 月開始，Huntress 分析師觀察到，該軟件會部署基于 PowerShell 的有效載荷，以提升的權(quán)限運行，禁用網(wǎng)絡(luò)安全產(chǎn)品，封鎖其更新服務(wù)器，并阻止重新安裝。

這款惡意軟件通過五項計劃任務(wù)和 WMI 事件訂閱實現(xiàn)持久化，即便系統(tǒng)重啟也能留存。它還會為未來用于部署有效載荷（可能包括加密貨幣挖礦程序、勒索軟件或信息竊取程序）的目錄添加 Windows Defender 排除項。

最令人擔(dān)憂的發(fā)現(xiàn)來自該軟件的更新配置。用于交付有效載荷更新的主域名（chromsterabrowser [.] com）未注冊。由于受感染機器上的殺毒保護已被禁用，任何人購買該域名，都能向每個受影響主機發(fā)送任意代碼，無需進行額外的漏洞利用。

Huntress 趕在其他人之前注冊了該域名，并將其指向一個陷阱域名，然后監(jiān)測結(jié)果。大約有 2.5 萬個獨特 IP 地址（代表生產(chǎn)環(huán)境中正在尋求更新指令的真實終端）試圖連接該域名。

感染范圍覆蓋 124 個國家，其中美國受感染主機超過 1.2 萬臺，其次是法國、加拿大、英國和德國，各有約 2000 臺。

高價值目標的受感染規(guī)模尤其令人擔(dān)憂。在觀察到的受感染主機中，有 324 臺屬于敏感網(wǎng)絡(luò)，包括 221 所高校、41 個運營技術(shù)（OT）網(wǎng)絡(luò)、35 個政府機構(gòu)和 3 家醫(yī)療保健組織。

被識別出的 OT 網(wǎng)絡(luò)涉及電力公用事業(yè)公司、運輸供應(yīng)商、電力合作社及關(guān)鍵基礎(chǔ)設(shè)施。受影響網(wǎng)絡(luò)中還包括多家財富 500 強公司。

Huntress 敦促各組織搜尋入侵指標（IoCs），以檢測此次攻擊活動可能帶來的潛在影響。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！