非官方Windows授权启动软件藏有BitRAT恶意程序

想使用盗版Windows的用户要小心了,安全厂商发现非官方的Windows授权启动软件内有远程木马程序(RAT)。

安全厂商ASEC近日发现,韩国最大文件分享平台Webhard上一个可供公开下载的程序W10 Digital Activation,宣称是Windows 10 Pro授权启动器(activator)。但用户若下载用来验证Webhard或其他网站下载的(即盗版)Windows软件的授权,就会被植入BitRAT木马程序。

图片来源/ASEC

研究人员指出,整个过程恶意程序都伪装成Windows 10验证工具。用户下载W10 Digital Activation后先会获得Program.zip的压缩文件,以1234解锁后即得到W10DigitalActivation.exe,这是一个7z SFX自解压缩文件,内有真正的验证工具W10DigitalActivation.msi,以及W10DigitalActivation_Temp.mis,后者则是恶意程序,两者会同时安装及启动,借由验证Windows来掩藏真实意图。

图片来源/ASEC

W10DigitalActivation_Temp.mis启动会和外部C&C服务器创建连接,再下载木马程序BitRAT,以Software_Reporter_Tool.exe为文件名存储到%TEMP%的路径下。研究人员表示它能力颇高超,能利用powershell指令将Windows启动程序夹加入Windows Defender的例外路径清单,并把Software_Reporter_Tool.exe的行程加入Defender的例外行程清单中,目的在规避Defender杀毒引擎的扫描。

BitRAT从2020年即在黑客论坛中销售,且一直为黑客爱用。它不仅提供攻击者简单的控制权,像是执行程序、服务、文件和远程指令,还提供高端功能,如窃取资讯、隐藏式虚拟网络运算(hidden virtual network computing,HVNC,即让攻击者取得感染设备的用户访问权)、远程桌面、挖矿和执行代理服务器、以及执行DDoS攻击、绕过UAC(User Access Control)等。

研究人员表示,降低这波感染几率的有效方法之一,便是不要使用盗版Windows。

发表评论