近日，工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)（CSTIS）監(jiān)測(cè)發(fā)現(xiàn)，攻擊者大規(guī)模操縱SEO（搜索引擎優(yōu)化）排名傳播惡意軟件，造成用戶信息泄露與系統(tǒng)受控。
攻擊鏈?zhǔn)加谒阉髌墼p誘導(dǎo)，攻擊者偽造高仿釣魚頁(yè)面，誘騙用戶點(diǎn)擊觸發(fā)重定向后，由惡意JavaScript腳本nice.js竊取設(shè)備參數(shù)發(fā)送至攻擊服務(wù)器。動(dòng)態(tài)載荷投遞階段隨即啟動(dòng)，服務(wù)器通過(guò)兩層JSON響應(yīng)下發(fā)捆綁正版軟件（DeepL安裝器）與惡意組件（Winos變種EnumW.dll）的MSI安裝包，該安裝包提權(quán)后釋放55個(gè)碎片文件至C:\ProgramData\Data_Xowlls目錄并激活惡意代碼。隨之進(jìn)入反分析規(guī)避階段，惡意軟件（Winos變種）加載后，會(huì)驗(yàn)證進(jìn)程身份（非msiexec.exe則立即退出），檢測(cè)系統(tǒng)時(shí)鐘（連續(xù)兩次請(qǐng)求百度的時(shí)間間隔，若小于4秒則終止），檢查ACPI表及桌面文件數(shù)量（識(shí)別虛擬機(jī)）。檢測(cè)通過(guò)后，該惡意軟件將55個(gè)碎片重組為惡意數(shù)據(jù)文件emoji.dat，并釋放干擾文件vstdlib.dll（內(nèi)部填充冗余數(shù)據(jù)）。持久化植入階段是根據(jù)防護(hù)狀態(tài)來(lái)選擇潛伏機(jī)制，若存在安全軟件，該惡意軟件則劫持文件管理器進(jìn)程；否則，篡改啟動(dòng)項(xiàng)偽裝為“Google更新”。最終在執(zhí)行加密攻擊時(shí)，該惡意軟件會(huì)創(chuàng)建加密憑證文件venwin.lock（使用60秒刷新的動(dòng)態(tài)AES密鑰），加密連接C2服務(wù)器，啟動(dòng)全方位監(jiān)控（鍵盤記錄、屏幕捕獲、竊取加密私鑰等）。
建議相關(guān)單位及用戶立即組織排查，定期離線備份核心數(shù)據(jù)；嚴(yán)格核驗(yàn)軟件域名真實(shí)性，杜絕來(lái)源不明程序運(yùn)行；及時(shí)修復(fù)系統(tǒng)漏洞并阻斷惡意提權(quán)；加強(qiáng)員工反釣魚培訓(xùn)，識(shí)別SEO欺詐及偽裝啟動(dòng)項(xiàng)；同步部署終端行為監(jiān)控，全面封堵網(wǎng)絡(luò)攻擊風(fēng)險(xiǎn)。
相關(guān)IOC信息
a32d14f28c44ec6f9b4ad961b2eb4f778077613bdf206327a2afa92a7307d31a
ea59f20b418c9aa4551ac35f8398810e58735041d1625e77d13e369a701e273c
b15b642930f8903f7e8c4d8955347575afd2f2abee2ee2d612ba381442026bfd
2a1ae074a0406de514b3ab03c1747fd43813d8bad9c164f390103a0480f9a6aa
c3afd8224cea7a743a3dea8437ff7ed6f89a62cd8f6787c4f27593faec9fc4cb
66787d80ec42a289030bb080fa1ad596e60bd0db92dc6e1e9d66921ea23ccd0e
deepl-fanyi[.]com
aisizhushou[.]com
telegramni[.]com
wps1[.]com
wws[.]c4p11[.]shop
bucket00716[.]s3[.]ap-southeast-2[.]amazonaws[.]com
znrce3z[.]oss-ap-southeast-1[.]aliyuncs[.]com
xiazai1[.]aisizhushou[.]io
xiazai2[.]aisizhushou[.]io
137[.]220[.]152[.]99
43[.]248[.]172[.]13
202[.]95[.]8[.]47
27[.]124[.]13[.]32
