<p>點擊時要小心。惡意分子正在利用 WhatsApp 消息進行多階段攻擊，傳遞惡意的 Microsoft Installer (MSI) 包，使犯罪分子能夠控制受害者的機器並訪問他們的所有數據。</p>
<p>我們被告知，這場活動始於二月底，攻擊鏈以一條 WhatsApp 消息開始，該消息傳遞惡意的 Visual Basic Script (VBS) 文件。我們不確定詐騙的社交工程部分具體是如何運作的——我們已向 Redmond 詢問更多細節，如果收到回覆將更新此故事。</p>
<p><em>The Register</em> 也聯繫了 Meta 旗下的 WhatsApp 進行評論，但沒有收到回覆。</p>
<p>但攻擊者以某種方式欺騙消息接收者在其系統上執行惡意文件。他們可能使用被攻陷的 WhatsApp 會話，使消息看起來來自受害者的現有聯繫人之一。或者，他們向用户發送帶有緊迫感的誘餌，促使接收者匆忙打開文件。</p>
<p>一旦執行，惡意腳本會在 C:\ProgramData 中創建隱藏文件夾，並投放重命名的合法 Windows 工具版本——例如，將 curl.exe 重命名為 netapi.dll，將 bitsadmin.exe 重命名為 sc.exe。</p>
<p>使用合法的 Windows 工具進行惡意活動使攻擊者能夠與正常的網絡活動混合——防禦者稱之為 “利用現有資源”——但惡意分子在重命名這些二進制文件時確實犯了一個錯誤。</p>
<p>“值得注意的是，這些重命名的二進制文件保留了其原始的 PE（可移植可執行文件）元數據，包括仍然將其標識為 curl.exe 和 bitsadmin.exe 的 OriginalFileName 字段，” 微軟的研究人員在週二的博客中寫道。“這意味着 Microsoft Defender 和其他安全解決方案可以利用這種元數據差異作為檢測信號，標記文件名與其嵌入的 OriginalFileName 不匹配的實例。”</p>
<p>犯罪分子使用重命名的二進制文件從包括 AWS、騰訊雲和 Backblaze B2 在內的可信雲服務下載二次 VBS 有效載荷（auxs.vbs，2009.vbs）。再次，這使得區分正常企業活動和惡意下載變得更加困難。</p>
<ul>
<li>Meta，國際警察利用手銬和人工智能阻止詐騙者</li>
<li>俄羅斯網絡犯罪分子通過釣魚攻擊進入官員的 Signal 和 WhatsApp 賬户</li>
<li>多疑的 WhatsApp 用户歡呼：加密應用獲得一鍵隱私切換</li>
<li>被污染的 WhatsApp API 包竊取消息和賬户</li>
</ul>
<p>然後，惡意軟件更改用户賬户控制（UAC）設置，試圖以提升的權限啓動 cmd.exe，直到成功為止，這意味着惡意軟件將在系統重啓後存活，或者該進程被強制終止。</p>
<p>最後，攻擊者部署惡意的 MSI 安裝程序，微軟表示這些包括 Setup.msi、WinRAR.msi、LinkPoint.msi 和 AnyDesk.msi。再次，壞人使用真實工具如 AnyDesk——而不是自定義惡意軟件——以隱藏在明處。</p>
<p>然而，最終的有效載荷都沒有簽名，這應該是另一個跡象，表明防禦者正在處理惡意軟件，而不是合法的企業軟件。</p>
<p>這些安裝程序使攻擊者能夠遠程訪問受害者的系統，以便竊取數據，在被攻陷的系統上部署更多惡意軟件——例如勒索軟件——或將感染的機器作為更大網絡的一部分，從中發起其他攻擊。</p>
<p>雖然微軟的博客中包含了幾條建議，指導人們使用他們的安全產品以避免此類妥協，但我們特別喜歡的一條中立建議是教育用户如何識別社交工程活動。</p>
<p>“培訓員工識別可疑的 WhatsApp 附件和意外消息，強調即使是熟悉的平台也可能被利用來傳遞惡意軟件，” Redmond 建議。®</p>

標普軟件與服務 ETF - SPDR

MSFO

北美科技軟件股指數 ETF - iShares

中國軟件

2 倍做多 MSFT ETF - GraniteShares

雲計算 ETF - GlobalX

微軟每日 2 倍做多 ETF - Direxion

MSFX

<p>微軟警告用户關於一種多階段攻擊，該攻擊利用 WhatsApp 消息傳播惡意的 Microsoft Installer (MSI) 包。攻擊始於一條包含有害 Visual Basic Script (VBS) 文件的 WhatsApp 消息，誘使接收者執行這些文件。這導致隱藏文件夾的創建以及合法 Windows 工具的惡意使用。攻擊者隨後部署 MSI 安裝程序，以獲取受害者系統的遠程訪問權限，從而進行數據盜竊和進一步的惡意軟件部署。微軟建議用户提高警惕，學習識別可疑消息，以應對此類威脅</p>

<p>Be careful what you click on. Miscreants are abusing WhatsApp messages in a multi-stage attack that delivers malicious Microsoft Installer (MSI) packages, allowing criminals to control victims' machines and access all of their data.</p>
<div class="lb-trans"><p>點擊時要小心。惡意分子正在利用 WhatsApp 消息進行多階段攻擊，傳遞惡意的 Microsoft Installer (MSI) 包，使犯罪分子能夠控制受害者的機器並訪問他們的所有數據。</p>
</div><p>The campaign began in late February, we're told, and the attack chain starts with a WhatsApp message that delivers malicious Visual Basic Script (VBS) files. We're not sure exactly how the social engineering part of the scam works - we've asked Redmond for additional details and will update this story if we receive any.</p>
<div class="lb-trans"><p>我們被告知，這場活動始於二月底，攻擊鏈以一條 WhatsApp 消息開始，該消息傳遞惡意的 Visual Basic Script (VBS) 文件。我們不確定詐騙的社交工程部分具體是如何運作的——我們已向 Redmond 詢問更多細節，如果收到回覆將更新此故事。</p>
</div><p><em>The Register</em> also reached out to Meta-owned WhatsApp for comment and did not hear back.</p>
<div class="lb-trans"><p><em>The Register</em> 也聯繫了 Meta 旗下的 WhatsApp 進行評論，但沒有收到回覆。</p>
</div><p>But somehow the attacker tricks the message recipient into executing the malicious file on their system. They likely do this using a compromised WhatsApp session so that the message appears to come from one of the victim's existing contacts. Or they blast users with a lure that contains a sense of urgency, prompting the recipient to open the file in a rush.</p>
<div class="lb-trans"><p>但攻擊者以某種方式欺騙消息接收者在其系統上執行惡意文件。他們可能使用被攻陷的 WhatsApp 會話，使消息看起來來自受害者的現有聯繫人之一。或者，他們向用户發送帶有緊迫感的誘餌，促使接收者匆忙打開文件。</p>
</div><p>Once it's executed, the malicious script creates hidden folders in C:\ProgramData and drops renamed versions of legitimate Windows utilities - for example, curl.exe renamed as netapi.dll and bitsadmin.exe as sc.exe.</p>
<div class="lb-trans"><p>一旦執行，惡意腳本會在 C:\ProgramData 中創建隱藏文件夾，並投放重命名的合法 Windows 工具版本——例如，將 curl.exe 重命名為 netapi.dll，將 bitsadmin.exe 重命名為 sc.exe。</p>
</div><p>Using legitimate Windows tools for evil purposes allows attackers to blend in with normal network activity - defenders call this &#34;living off the land&#34; - but the miscreants did make a mistake in renaming these binaries.</p>
<div class="lb-trans"><p>使用合法的 Windows 工具進行惡意活動使攻擊者能夠與正常的網絡活動混合——防禦者稱之為 “利用現有資源”——但惡意分子在重命名這些二進制文件時確實犯了一個錯誤。</p>
</div><p>&#34;Notably, these renamed binaries retain their original PE (Portable Executable) metadata, including the OriginalFileName field which still identifies them as curl.exe and bitsadmin.exe,&#34; Microsoft's researchers wrote in a Tuesday blog. &#34;This means Microsoft Defender and other security solutions can leverage this metadata discrepancy as a detection signal, flagging instances where a file's name does not match its embedded OriginalFileName.&#34;</p>
<div class="lb-trans"><p>“值得注意的是，這些重命名的二進制文件保留了其原始的 PE（可移植可執行文件）元數據，包括仍然將其標識為 curl.exe 和 bitsadmin.exe 的 OriginalFileName 字段，” 微軟的研究人員在週二的博客中寫道。“這意味着 Microsoft Defender 和其他安全解決方案可以利用這種元數據差異作為檢測信號，標記文件名與其嵌入的 OriginalFileName 不匹配的實例。”</p>
</div><p>The crims use the renamed binaries to download secondary VBS payloads (auxs.vbs, 2009.vbs) from trusted cloud services including AWS, Tencent Cloud, and Backblaze B2. Again, this makes it more difficult to distinguish between normal enterprise activity and malicious downloads.</p>
<div class="lb-trans"><p>犯罪分子使用重命名的二進制文件從包括 AWS、騰訊雲和 Backblaze B2 在內的可信雲服務下載二次 VBS 有效載荷（auxs.vbs，2009.vbs）。再次，這使得區分正常企業活動和惡意下載變得更加困難。</p>
</div><ul>
<li>Meta, international cops use handcuffs and AI to stop scammers</li>
<li>Russian cybercrims phish their way into officials' Signal and WhatsApp accounts</li>
<li>Paranoid WhatsApp users rejoice: Encrypted app gets one-click privacy toggle</li>
<li>Poisoned WhatsApp API package steals messages and accounts</li>
</ul>
<div class="lb-trans"><ul>
<li>Meta，國際警察利用手銬和人工智能阻止詐騙者</li>
<li>俄羅斯網絡犯罪分子通過釣魚攻擊進入官員的 Signal 和 WhatsApp 賬户</li>
<li>多疑的 WhatsApp 用户歡呼：加密應用獲得一鍵隱私切換</li>
<li>被污染的 WhatsApp API 包竊取消息和賬户</li>
</ul>
</div><p>Then the malware alters the User Account Control (UAC) settings, attempting to launch cmd.exe with elevated privileges until it either succeeds, meaning the malware will survive a system reboot, or the process is forcibly terminated.</p>
<div class="lb-trans"><p>然後，惡意軟件更改用户賬户控制（UAC）設置，試圖以提升的權限啓動 cmd.exe，直到成功為止，這意味着惡意軟件將在系統重啓後存活，或者該進程被強制終止。</p>
</div><p>Finally, the attackers deploy malicious MSI installers, and Microsoft says that these include Setup.msi, WinRAR.msi, LinkPoint.msi, and AnyDesk.msi. Once again, the baddies use real tools like AnyDesk - not custom malware - to hide in plain sight.</p>
<div class="lb-trans"><p>最後，攻擊者部署惡意的 MSI 安裝程序，微軟表示這些包括 Setup.msi、WinRAR.msi、LinkPoint.msi 和 AnyDesk.msi。再次，壞人使用真實工具如 AnyDesk——而不是自定義惡意軟件——以隱藏在明處。</p>
</div><p>However, none of the final payloads are signed, and this should be another indication to defenders that they are dealing with malware, not legit enterprise software.</p>
<div class="lb-trans"><p>然而，最終的有效載荷都沒有簽名，這應該是另一個跡象，表明防禦者正在處理惡意軟件，而不是合法的企業軟件。</p>
</div><p>These installers give the attackers remote access to victims' systems so they can steal data, deploy more malware - such as ransomware - on compromised systems, or use the infected machines as part of a larger network from which to launch other attacks.</p>
<div class="lb-trans"><p>這些安裝程序使攻擊者能夠遠程訪問受害者的系統，以便竊取數據，在被攻陷的系統上部署更多惡意軟件——例如勒索軟件——或將感染的機器作為更大網絡的一部分，從中發起其他攻擊。</p>
</div><p>While Microsoft's blog includes several recommendations directing people to use their security products to avoid this type of compromise, one vendor-neutral tip that we especially like involves educating users on how to spot social engineering campaigns.</p>
<div class="lb-trans"><p>雖然微軟的博客中包含了幾條建議，指導人們使用他們的安全產品以避免此類妥協，但我們特別喜歡的一條中立建議是教育用户如何識別社交工程活動。</p>
</div><p>&#34;Train employees to recognize suspicious WhatsApp attachments and unexpected messages, reinforcing that even familiar platforms can be exploited for malware delivery,&#34; Redmond advises. ®</p>
<div class="lb-trans"><p>“培訓員工識別可疑的 WhatsApp 附件和意外消息，強調即使是熟悉的平台也可能被利用來傳遞惡意軟件，” Redmond 建議。®</p>
</div>

微軟警告：不要打開那個 WhatsApp 消息