ChromeLoader 正在通过破解游戏进行传输
发布时间：2023-06-06 10:41:07 所属栏目：安全 来源：
导读： 由于微软默认禁用了网络下载文件的宏编码,攻击者在恶意软件分发中开始越来越多地使用磁盘镜像文件（如 ISO 和 VHD）。近期，研究人员发现攻击者在利用 VHD 文件分发 ChromeLoader。从文件名来看，攻击者将恶意软件伪
|
由于微软默认禁用了网络下载文件的宏编码,攻击者在恶意软件分发中开始越来越多地使用磁盘镜像文件（如 ISO 和 VHD）。近期，研究人员发现攻击者在利用 VHD 文件分发 ChromeLoader。从文件名来看，攻击者将恶意软件伪装到任天堂和 Steam 游戏的破解版中。 分发的文件名 利用文件名在 Google 上进行检索，可以发现多个分发恶意软件的网站。其中都部署了大量的破解版游戏与破解版付费应用程序，从任何一个来源下载非法程序都会中招。 搜索引擎结果 例如点击恶意网站的广告，下载一个普通的程序文件： 恶意网站广告 用户很容易将 VHD 文件误认为是游戏相关的程序，VHD 中的文件如下所示。除了 Install.lnk 文件之外的所有文件都被隐藏了，因此普通用户只会看到 Install.lnk 文件。 VHD 中的文件 LNK 文件会运行 properties.bat 文件， 该脚本会调用 特定的tar 文件命令强制解压 files.zip 文件恢复到服务器的指定目录。 files.zip 文件中包含良性文件和与node-webkit(nw.js) 相关的恶意 JavaScript 文件（注：node-webkit 是一个使用 Chromium 和 Node.js 的网络应用程序。），通过 nw.exe 运行并引用 package.json 文件中写入的数据进行加载。 properties.bat 运行 data.ini 文件与解压后生成的 videos.exe 文件。前者为 VBS 脚本，会在 %AppData%\Microsoft\Windows\Start Menu\Programs\Startup\ 中创建 videos.exe 的快捷方式。 videos.exe 文件里有 nw.exe 文件，可以引用 package.json 来运行 main 函数指定的脚本文件。本例中指定的是 start.html 文件，其中包含混淆后的恶意 JavaScript 文件。 最终，videos.exe 文件会执行 start.html 中的恶意 JavaScript 代码。下载 ChromeLoader。ChromeLoader 是一种通过 Chrome 扩展程序执行恶意行为的广告类恶意软件，也可以窃取浏览器凭据并篡改浏览器设置。 （编辑：聊城站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐
