【安全圈】10 美元域名或致黑客掌控 2.5 萬個終端，涉運營技術及政府網絡

關鍵詞

黑客

Huntress 的研究人員在看似普通廣告軟件中，發現了一個復雜的潛在威脅。研究顯示，只需 10 美元就能買到的一個未注冊域名，竟可讓惡意行為者悄然控制全球超過 2.5 萬個受感染終端。

此次調查的核心軟件由 Dragon Boss Solutions 簽名，該公司自稱是一家位于阿聯酋的搜索盈利化研究公司。

長期以來，這款軟件被歸類為具有瀏覽器劫持能力的潛在不受歡迎程序（PUP）。但 Huntress 研究人員分析發現，它已悄然演變成一種更為危險的程序。

從 2025 年 3 月開始，Huntress 分析師觀察到，該軟件會部署基于 PowerShell 的有效載荷，以提升的權限運行，禁用網絡安全產品，封鎖其更新服務器，并阻止重新安裝。

這款惡意軟件通過五項計劃任務和 WMI 事件訂閱實現持久化，即便系統重啟也能留存。它還會為未來用于部署有效載荷（可能包括加密貨幣挖礦程序、勒索軟件或信息竊取程序）的目錄添加 Windows Defender 排除項。

最令人擔憂的發現來自該軟件的更新配置。用于交付有效載荷更新的主域名（chromsterabrowser [.] com）未注冊。由于受感染機器上的殺毒保護已被禁用，任何人購買該域名，都能向每個受影響主機發送任意代碼，無需進行額外的漏洞利用。

Huntress 趕在其他人之前注冊了該域名，并將其指向一個陷阱域名，然后監測結果。大約有 2.5 萬個獨特 IP 地址（代表生產環境中正在尋求更新指令的真實終端）試圖連接該域名。

感染范圍覆蓋 124 個國家，其中美國受感染主機超過 1.2 萬臺，其次是法國、加拿大、英國和德國，各有約 2000 臺。

高價值目標的受感染規模尤其令人擔憂。在觀察到的受感染主機中，有 324 臺屬于敏感網絡，包括 221 所高校、41 個運營技術（OT）網絡、35 個政府機構和 3 家醫療保健組織。

被識別出的 OT 網絡涉及電力公用事業公司、運輸供應商、電力合作社及關鍵基礎設施。受影響網絡中還包括多家財富 500 強公司。

Huntress 敦促各組織搜尋入侵指標（IoCs），以檢測此次攻擊活動可能帶來的潛在影響。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！