【安全圈】29歲黑客制作Win11激活工具，已感染280萬設備

關鍵詞

惡意軟件

事件概述

2025年12月，韓國警方成功引渡并逮捕了一名29歲的立陶宛籍黑客。該嫌疑人通過偽裝成知名的Windows激活工具“KMSAuto”，在全球范圍內感染了約280萬臺設備。此次逮捕行動由韓國警方主導，并在國際刑警組織的協調下完成，是跨國執法合作的一次重要成果。

作案手法

該黑客的主要作案手段是利用廣受歡迎的Windows和Office非法激活工具“KMSAuto”作為誘餌，在該工具中植入了名為“Clipper”的惡意程序。具體工作原理如下：

1. 誘餌工具：
   嫌疑人將“KMSAuto”這一合法且受歡迎的工具作為攻擊入口，誘導用戶下載和運行。

2. 惡意軟件植入：
   在工具中植入的“Clipper”惡意程序能夠在后臺實時監控用戶的剪貼板內容。

3. 剪貼板監控與篡改：
   當用戶復制加密貨幣錢包地址時，“Clipper”會即時識別并將其替換為犯罪嫌疑人控制的地址。

4. 資金竊取：
   用戶在不知情的情況下將資金轉入黑客錢包，從而完成資金竊取。

影響與后果

從2020年4月至2023年1月，該惡意軟件在全球范圍內被下載傳播了280萬次。通過隱蔽的“偷梁換柱”手法，犯罪嫌疑人成功實施了8400次欺詐交易，影響了3100名受害者，竊取了價值約17億韓元（約合823萬元人民幣）的虛擬資產。

警方行動

1. 案件啟動：
   韓國警方于2020年8月接到關于“加密劫持”的報案后正式啟動調查。

2. 調查手段：

• 追蹤資金流向

  警方通過對被盜資金的追蹤，鎖定了犯罪嫌疑人的資金流向。

• 惡意軟件逆向分析

  通過對惡意軟件樣本的逆向分析，提取出了關鍵的證據。

跨國追蹤：
警方進行了長達數年的跨國追蹤，最終鎖定了犯罪嫌疑人的身份和位置。

突擊搜查與逮捕：

• 警方于2024年12月在立陶宛對嫌疑人的住所進行了突擊搜查，扣押了包括筆記本電腦和手機在內的22項涉案物品，并從中提取了關鍵定罪證據。

• 嫌疑人于2025年4月在從立陶宛前往格魯吉亞的途中被正式逮捕，并在國際刑警組織的協調下成功引渡至韓國。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！