<p>点击时要小心。恶意分子正在利用 WhatsApp 消息进行多阶段攻击，传递恶意的 Microsoft Installer (MSI) 包，使犯罪分子能够控制受害者的机器并访问他们的所有数据。</p>
<p>我们被告知，这场活动始于二月底，攻击链以一条 WhatsApp 消息开始，该消息传递恶意的 Visual Basic Script (VBS) 文件。我们不确定诈骗的社交工程部分具体是如何运作的——我们已向 Redmond 询问更多细节，如果收到回复将更新此故事。</p>
<p><em>The Register</em> 也联系了 Meta 旗下的 WhatsApp 进行评论，但没有收到回复。</p>
<p>但攻击者以某种方式欺骗消息接收者在其系统上执行恶意文件。他们可能使用被攻陷的 WhatsApp 会话，使消息看起来来自受害者的现有联系人之一。或者，他们向用户发送带有紧迫感的诱饵，促使接收者匆忙打开文件。</p>
<p>一旦执行，恶意脚本会在 C:\ProgramData 中创建隐藏文件夹，并投放重命名的合法 Windows 工具版本——例如，将 curl.exe 重命名为 netapi.dll，将 bitsadmin.exe 重命名为 sc.exe。</p>
<p>使用合法的 Windows 工具进行恶意活动使攻击者能够与正常的网络活动混合——防御者称之为 “利用现有资源”——但恶意分子在重命名这些二进制文件时确实犯了一个错误。</p>
<p>“值得注意的是，这些重命名的二进制文件保留了其原始的 PE（可移植可执行文件）元数据，包括仍然将其标识为 curl.exe 和 bitsadmin.exe 的 OriginalFileName 字段，” 微软的研究人员在周二的博客中写道。“这意味着 Microsoft Defender 和其他安全解决方案可以利用这种元数据差异作为检测信号，标记文件名与其嵌入的 OriginalFileName 不匹配的实例。”</p>
<p>犯罪分子使用重命名的二进制文件从包括 AWS、腾讯云和 Backblaze B2 在内的可信云服务下载二次 VBS 有效载荷（auxs.vbs，2009.vbs）。再次，这使得区分正常企业活动和恶意下载变得更加困难。</p>
<ul>
<li>Meta，国际警察利用手铐和人工智能阻止诈骗者</li>
<li>俄罗斯网络犯罪分子通过钓鱼攻击进入官员的 Signal 和 WhatsApp 账户</li>
<li>多疑的 WhatsApp 用户欢呼：加密应用获得一键隐私切换</li>
<li>被污染的 WhatsApp API 包窃取消息和账户</li>
</ul>
<p>然后，恶意软件更改用户账户控制（UAC）设置，试图以提升的权限启动 cmd.exe，直到成功为止，这意味着恶意软件将在系统重启后存活，或者该进程被强制终止。</p>
<p>最后，攻击者部署恶意的 MSI 安装程序，微软表示这些包括 Setup.msi、WinRAR.msi、LinkPoint.msi 和 AnyDesk.msi。再次，坏人使用真实工具如 AnyDesk——而不是自定义恶意软件——以隐藏在明处。</p>
<p>然而，最终的有效载荷都没有签名，这应该是另一个迹象，表明防御者正在处理恶意软件，而不是合法的企业软件。</p>
<p>这些安装程序使攻击者能够远程访问受害者的系统，以便窃取数据，在被攻陷的系统上部署更多恶意软件——例如勒索软件——或将感染的机器作为更大网络的一部分，从中发起其他攻击。</p>
<p>虽然微软的博客中包含了几条建议，指导人们使用他们的安全产品以避免此类妥协，但我们特别喜欢的一条中立建议是教育用户如何识别社交工程活动。</p>
<p>“培训员工识别可疑的 WhatsApp 附件和意外消息，强调即使是熟悉的平台也可能被利用来传递恶意软件，” Redmond 建议。®</p>

标普软件与服务 ETF - SPDR

MSFO

北美科技软件股指数 ETF - iShares

中国软件

2 倍做多 MSFT ETF - GraniteShares

云计算 ETF - GlobalX

微软每日 2 倍做多 ETF - Direxion

MSFX

<p>微软警告用户关于一种多阶段攻击，该攻击利用 WhatsApp 消息传播恶意的 Microsoft Installer (MSI) 包。攻击始于一条包含有害 Visual Basic Script (VBS) 文件的 WhatsApp 消息，诱使接收者执行这些文件。这导致隐藏文件夹的创建以及合法 Windows 工具的恶意使用。攻击者随后部署 MSI 安装程序，以获取受害者系统的远程访问权限，从而进行数据盗窃和进一步的恶意软件部署。微软建议用户提高警惕，学习识别可疑消息，以应对此类威胁</p>

<p>Be careful what you click on. Miscreants are abusing WhatsApp messages in a multi-stage attack that delivers malicious Microsoft Installer (MSI) packages, allowing criminals to control victims' machines and access all of their data.</p>
<div class="lb-trans"><p>点击时要小心。恶意分子正在利用 WhatsApp 消息进行多阶段攻击，传递恶意的 Microsoft Installer (MSI) 包，使犯罪分子能够控制受害者的机器并访问他们的所有数据。</p>
</div><p>The campaign began in late February, we're told, and the attack chain starts with a WhatsApp message that delivers malicious Visual Basic Script (VBS) files. We're not sure exactly how the social engineering part of the scam works - we've asked Redmond for additional details and will update this story if we receive any.</p>
<div class="lb-trans"><p>我们被告知，这场活动始于二月底，攻击链以一条 WhatsApp 消息开始，该消息传递恶意的 Visual Basic Script (VBS) 文件。我们不确定诈骗的社交工程部分具体是如何运作的——我们已向 Redmond 询问更多细节，如果收到回复将更新此故事。</p>
</div><p><em>The Register</em> also reached out to Meta-owned WhatsApp for comment and did not hear back.</p>
<div class="lb-trans"><p><em>The Register</em> 也联系了 Meta 旗下的 WhatsApp 进行评论，但没有收到回复。</p>
</div><p>But somehow the attacker tricks the message recipient into executing the malicious file on their system. They likely do this using a compromised WhatsApp session so that the message appears to come from one of the victim's existing contacts. Or they blast users with a lure that contains a sense of urgency, prompting the recipient to open the file in a rush.</p>
<div class="lb-trans"><p>但攻击者以某种方式欺骗消息接收者在其系统上执行恶意文件。他们可能使用被攻陷的 WhatsApp 会话，使消息看起来来自受害者的现有联系人之一。或者，他们向用户发送带有紧迫感的诱饵，促使接收者匆忙打开文件。</p>
</div><p>Once it's executed, the malicious script creates hidden folders in C:\ProgramData and drops renamed versions of legitimate Windows utilities - for example, curl.exe renamed as netapi.dll and bitsadmin.exe as sc.exe.</p>
<div class="lb-trans"><p>一旦执行，恶意脚本会在 C:\ProgramData 中创建隐藏文件夹，并投放重命名的合法 Windows 工具版本——例如，将 curl.exe 重命名为 netapi.dll，将 bitsadmin.exe 重命名为 sc.exe。</p>
</div><p>Using legitimate Windows tools for evil purposes allows attackers to blend in with normal network activity - defenders call this &#34;living off the land&#34; - but the miscreants did make a mistake in renaming these binaries.</p>
<div class="lb-trans"><p>使用合法的 Windows 工具进行恶意活动使攻击者能够与正常的网络活动混合——防御者称之为 “利用现有资源”——但恶意分子在重命名这些二进制文件时确实犯了一个错误。</p>
</div><p>&#34;Notably, these renamed binaries retain their original PE (Portable Executable) metadata, including the OriginalFileName field which still identifies them as curl.exe and bitsadmin.exe,&#34; Microsoft's researchers wrote in a Tuesday blog. &#34;This means Microsoft Defender and other security solutions can leverage this metadata discrepancy as a detection signal, flagging instances where a file's name does not match its embedded OriginalFileName.&#34;</p>
<div class="lb-trans"><p>“值得注意的是，这些重命名的二进制文件保留了其原始的 PE（可移植可执行文件）元数据，包括仍然将其标识为 curl.exe 和 bitsadmin.exe 的 OriginalFileName 字段，” 微软的研究人员在周二的博客中写道。“这意味着 Microsoft Defender 和其他安全解决方案可以利用这种元数据差异作为检测信号，标记文件名与其嵌入的 OriginalFileName 不匹配的实例。”</p>
</div><p>The crims use the renamed binaries to download secondary VBS payloads (auxs.vbs, 2009.vbs) from trusted cloud services including AWS, Tencent Cloud, and Backblaze B2. Again, this makes it more difficult to distinguish between normal enterprise activity and malicious downloads.</p>
<div class="lb-trans"><p>犯罪分子使用重命名的二进制文件从包括 AWS、腾讯云和 Backblaze B2 在内的可信云服务下载二次 VBS 有效载荷（auxs.vbs，2009.vbs）。再次，这使得区分正常企业活动和恶意下载变得更加困难。</p>
</div><ul>
<li>Meta, international cops use handcuffs and AI to stop scammers</li>
<li>Russian cybercrims phish their way into officials' Signal and WhatsApp accounts</li>
<li>Paranoid WhatsApp users rejoice: Encrypted app gets one-click privacy toggle</li>
<li>Poisoned WhatsApp API package steals messages and accounts</li>
</ul>
<div class="lb-trans"><ul>
<li>Meta，国际警察利用手铐和人工智能阻止诈骗者</li>
<li>俄罗斯网络犯罪分子通过钓鱼攻击进入官员的 Signal 和 WhatsApp 账户</li>
<li>多疑的 WhatsApp 用户欢呼：加密应用获得一键隐私切换</li>
<li>被污染的 WhatsApp API 包窃取消息和账户</li>
</ul>
</div><p>Then the malware alters the User Account Control (UAC) settings, attempting to launch cmd.exe with elevated privileges until it either succeeds, meaning the malware will survive a system reboot, or the process is forcibly terminated.</p>
<div class="lb-trans"><p>然后，恶意软件更改用户账户控制（UAC）设置，试图以提升的权限启动 cmd.exe，直到成功为止，这意味着恶意软件将在系统重启后存活，或者该进程被强制终止。</p>
</div><p>Finally, the attackers deploy malicious MSI installers, and Microsoft says that these include Setup.msi, WinRAR.msi, LinkPoint.msi, and AnyDesk.msi. Once again, the baddies use real tools like AnyDesk - not custom malware - to hide in plain sight.</p>
<div class="lb-trans"><p>最后，攻击者部署恶意的 MSI 安装程序，微软表示这些包括 Setup.msi、WinRAR.msi、LinkPoint.msi 和 AnyDesk.msi。再次，坏人使用真实工具如 AnyDesk——而不是自定义恶意软件——以隐藏在明处。</p>
</div><p>However, none of the final payloads are signed, and this should be another indication to defenders that they are dealing with malware, not legit enterprise software.</p>
<div class="lb-trans"><p>然而，最终的有效载荷都没有签名，这应该是另一个迹象，表明防御者正在处理恶意软件，而不是合法的企业软件。</p>
</div><p>These installers give the attackers remote access to victims' systems so they can steal data, deploy more malware - such as ransomware - on compromised systems, or use the infected machines as part of a larger network from which to launch other attacks.</p>
<div class="lb-trans"><p>这些安装程序使攻击者能够远程访问受害者的系统，以便窃取数据，在被攻陷的系统上部署更多恶意软件——例如勒索软件——或将感染的机器作为更大网络的一部分，从中发起其他攻击。</p>
</div><p>While Microsoft's blog includes several recommendations directing people to use their security products to avoid this type of compromise, one vendor-neutral tip that we especially like involves educating users on how to spot social engineering campaigns.</p>
<div class="lb-trans"><p>虽然微软的博客中包含了几条建议，指导人们使用他们的安全产品以避免此类妥协，但我们特别喜欢的一条中立建议是教育用户如何识别社交工程活动。</p>
</div><p>&#34;Train employees to recognize suspicious WhatsApp attachments and unexpected messages, reinforcing that even familiar platforms can be exploited for malware delivery,&#34; Redmond advises. ®</p>
<div class="lb-trans"><p>“培训员工识别可疑的 WhatsApp 附件和意外消息，强调即使是熟悉的平台也可能被利用来传递恶意软件，” Redmond 建议。®</p>
</div>

微软警告：不要打开那个 WhatsApp 消息