惡意軟體正”借殼“知名清理程式CCleaner進行傳播

據Bleeping Computer網站6月8日訊息，一種被稱為““FakeCrack”的惡意軟體，正通過感染流行系統清理程式 CCleaner進行傳播。

據Avast的分析師們發現，這款惡意軟體是一個強大的資訊竊取程式，可以收集個人資料和加密貨幣資產，並通過資料竊取代理路由網際網路流量。他們報告稱，每天從其客戶遙測資料中檢測到平均 10000 次感染嘗試，這些受害者中的大多數來自法國、巴西、印度尼西亞和印度。

攻擊者遵循黑帽SEO技術，在谷歌搜尋結果中將其惡意軟體下載網站排名靠前，比如以破解版的CCleaner Professional 為例，以吸引更多受害者。一旦受害者點選這些”中毒“的搜尋結果，會引導至一個提供 ZIP 檔案下載的登入頁面。此登入頁面通常託管在合法的檔案託管平臺上，例如 filesend.jp 或 mediafire.com。ZIP 使用“1234”之類的弱 PIN 進行密碼保護，僅用於保護有效負載免受反病毒檢測。存檔中的檔案通常被命名為“setup.exe”或“cracksetup.exe”，其中包含了惡意軟體的可執行檔案，Avast已經觀察到8種不同的可執行檔案版本。

含有惡意軟體的 CCleaner Pro搜尋結果

惡意軟體會企圖竊取儲存在網路瀏覽器中的資訊，例如帳戶密碼、儲存的信用卡和加密貨幣錢包憑證，並會監控剪貼簿中複製的錢包地址，將其替換為受惡意軟體控制的地址以轉移支付。此剪貼簿劫持功能適用於各種加密貨幣地址，包括比特幣、以太坊、Cardano、Terra、Nano、Ronin 和比特幣現金地址。

惡意軟體監控剪貼簿

該惡意軟體還使用代理通過中間人攻擊來竊取加密貨幣市場帳戶憑據，這種攻擊對於受害者來說很難檢測或意識到。

Avast在報告中指出，攻擊者能夠設定 IP 地址來下載惡意代理自動配置指令碼 (PAC)，通過在系統中設定這個 IP 地址，每次受害者訪問任何列出的域時，流量都會被重定向到攻擊者控制下的代理伺服器。

由於該活動已經很普遍，並且感染率很高，因此儘量避免下載使用破解軟體，即使下載站點在搜尋引擎中的排名很高。

參考來源： http://www.bleepingcomputer.com/news/security/poisoned-ccleaner-search-results-spread-information-stealing-malware/