HackerNews 编译，转载请注明出处： 网络安全研究人员发现名为PlayPraetor的新型安卓远程访问木马（RAT），已感染超11,000台设备，主要分布在葡萄牙、西班牙、法国、摩洛哥、秘鲁及中国香港地区。Cleafy研究员团队（Simone Mattia等）在分析中指出：“僵尸网络近期每周新增感染超2,000例，其快速增长源于针对西班牙语和法语使用者的定向攻击策略，标志着攻击目标已从传统受害群体转向。” PlayPraetor通过中文控制面板（C2）管理，其核心机制未脱离常见安卓木马模式：滥用无障碍服务获取远程控制权，并能在近200款银行应用及加密货币钱包上叠加伪造登录界面，以劫持用户账户。该木马最早由巴林公司CTM360于2025年3月曝光，其利用数千个伪造Google Play商店下载页面实施大规模欺诈活动，可窃取银行凭证、监控剪贴板内容并记录键盘输入。“假冒页面链接通过Meta广告及短信传播，诱使用户点击后下载恶意APK文件。”CTM360在报告中强调。 该行动被评估为全球协同攻击，包含五种变体： 渐进式网页应用（PWA）：部署欺骗性网页应用 钓鱼攻击（Phish）：基于WebView的欺诈应用 隐匿模块（Phantom）：利用无障碍服务实现持久化C2控制（即PlayPraetor本体） 伪装攻击（Veil）：通过邀请码实施钓鱼，诱骗用户购买假冒商品 远程控制（RAT）：通过EagleSpy及SpyNote工具实现完全远程操控 据意大利欺诈防护公司分析，Phantom变体具备设备端欺诈（ODF）能力，由两大主要运营团伙控制约60%的僵尸网络（约4,500台设备），重点针对葡语用户。“其核心功能依赖安卓无障碍服务实现对受害设备的实时全面控制，”Cleafy指出，“这使得攻击者能直接在受害者设备上执行欺诈操作。” 木马安装后通过HTTP/HTTPS连接C2服务器，并建立WebSocket双向指令通道，同时利用实时消息传输协议（RTMP）发起设备屏幕直播。持续新增的控制指令表明该木马处于活跃开发阶段，支持全面数据窃取。近期攻击更频繁针对西班牙语及阿拉伯语使用者，标志其恶意软件即服务（MaaS）模式正加速扩张。 中文控制面板不仅用于实时操控设备，还能生成仿冒Google Play商店的定制化恶意页面（适配桌面及移动端）。“行动成功依托成熟的运营方法，采用多级分销的MaaS模式，”Cleafy表示，“该结构支持开展广泛且精准的定向攻击。” PlayPraetor是中文威胁组织实施金融欺诈的最新工具，延续了ToxicPanda及SuperCard X等恶意软件近年的发展趋势。 关联威胁动态 ToxicPanda升级：BitSight数据显示其已感染葡萄牙约3,000台设备（西班牙/希腊/摩洛哥/秘鲁次之）。攻击链采用TAG-1241流量分发系统（TDS），通过伪造Chrome更新提示传播。新版植入域名生成算法（DGA）增强C2韧性，新增备用C2域名设置及恶意覆盖层控制指令。 DoubleTrouble浮现：Zimperium曝光的新型银行木马已突破传统覆盖攻击模式，新增屏幕录制、键盘记录及阻断特定应用启动功能。其通过Discord频道托管恶意网站传播，深度滥用无障碍服务实施欺诈。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员近期警示新型Python信息窃取木马“PXA Stealer”的传播活动。据Beazley Security与SentinelOne联合报告（已提交至The Hacker News），该恶意活动被判定为越南黑客操纵PXA恶意软件，全球攻陷4000台设备盗取20万密码语黑客团伙所为，其通过Telegram API构建订阅制地下生态，自动化转售和复用窃取数据以实现变现。 “此次攻击展现出技术手段的飞跃，融合了精细的反分析技术、非恶意诱饵内容，以及阻碍安全分析并延缓检测的强化命令控制管道”，安全研究员团队（Jim Walter、Alex Delamotte等）指出。此轮攻击已感染62个国家超4000个独立IP地址，韩国、美国、荷兰、匈牙利及奥地利为重灾区，窃取数据涵盖20多万组独立密码、数百条信用卡记录及超400万条浏览器Cookie。 PXA Stealer最早由思科Talos于2024年11月曝光，被用于针对欧亚政府及教育机构的攻击。该木马可窃取密码、浏览器自动填充数据、加密货币钱包及金融机构信息。其通过Telegram外泄数据至Sherlock等犯罪平台（专门交易窃取日志），下游攻击者可购买信息实施加密货币盗窃或渗透组织进行后续攻击，形成规模化运行的网络犯罪生态。 2025年的攻击活动呈现持续战术演变：攻击者采用DLL侧加载技术和复杂的分阶段部署层规避检测。恶意DLL执行感染全流程，最终部署窃密木马前会向受害者展示版权侵权通知等诱饵文档。新版木马通过向Chromium浏览器进程注入DLL突破“应用绑定加密保护”机制，并窃取VPN客户端、云命令行工具（CLI）、共享文件及Discord等应用数据。 “PXA Stealer利用BotID（存储为TOKEN_BOT）建立主机器人与多个ChatID（存储为CHAT_ID）的关联。ChatID对应的Telegram频道主要用于托管外泄数据，并向操作者推送更新通知”，研究人员解释称，“该威胁已发展为高度规避的多阶段攻击，由越南语攻击者驱动，其明显关联于有组织的、基于Telegram的黑市——专门销售受害者数据。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 研究人员发现名为“DoubleTrouble”的安卓银行木马近期大幅升级传播手段与技术能力，对欧洲用户构成严重威胁。该木马最初通过仿冒大型银行的钓鱼网站传播，现已扩展至利用Discord平台托管恶意APK文件进行分发，显著增加了检测与防御难度。 Zimperium研究人员分析了当前攻击活动的9个样本及25个早期变种。据周三发布的报告显示，新版木马新增多项敏感数据窃取、设备操控及传统移动防御规避功能。 实时监控技术升级 木马安装后会伪装为合法应用（使用谷歌Play图标），诱导用户开启安卓无障碍服务。借此权限，木马可在后台隐蔽运行。其采用基于会话的安装方式，将恶意负载隐藏在应用资源目录中，有效规避早期检测。最新版本核心功能包括： 通过媒体投影（MediaProjection）与虚拟显示（VirtualDisplay）接口实现实时屏幕录制。 伪造锁屏覆盖界面窃取PIN码、密码及解锁图案。 基于无障碍事件监控的键盘记录。 针对性拦截银行应用或安全工具。 仿冒合法登录界面的定制化钓鱼覆盖层。 窃取数据经编码后传输至远程命令控制（C2）服务器，目标涵盖银行应用、密码管理工具及加密货币钱包的凭证。通过实时镜像用户设备屏幕，攻击者可绕过多因素认证，直接获取用户所见敏感内容。 全功能命令控制系统 该木马响应数十种C2服务器指令，支持远程攻击者： 模拟点击滑动操作 触发伪造UI元素 显示黑屏或更新界面 操控系统级设置 特定指令（如发送密码、启动图形拦截、屏蔽应用）使攻击者在窃密同时能主动阻挠用户操作。Zimperium警告称，DoubleTrouble采用的混淆技术、动态覆盖层与实时视觉窃取能力，标志着移动威胁正朝适应性强、持久化方向演进。其持续升级的传播手法与技术特性，对个人用户与金融机构均构成严峻挑战。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Cyfirma发现，黑客正公然利用GitHub平台以“免费VPN”为幌子传播Lumma信息窃取木马。该恶意项目伪装成“Free VPN for PC”仓库，实际安装包会触发多阶段攻击链：首先释放伪装成VPN组件的.NET加载器，随后通过内存注入技术部署最终载荷。 该攻击采用双重诱饵策略：同一攻击者在GitHub同步上传名为“Minecraft Skin”的恶意仓库，瞄准青少年游戏群体；利用GitHub可信平台属性规避安全检测，受害者在搜索正版软件时易误入陷阱。技术层面采用多层混淆手段：初始载荷含Base64编码的PowerShell脚本，核心模块通过内存驻留规避磁盘扫描；注入合法进程（如explorer.exe）实现隐蔽运行，窃取流程包含浏览器凭证、加密货币钱包及文档文件。 Lumma窃密软件在地下市场以“恶意软件即服务”模式流通，月租费140-160美元，支持定制化攻击配置。近期活跃传播渠道除GitHub外，还包括：YouTube盗版教程视频诱导下载带毒安装包、虚假验证码页面诱骗用户执行系统命令、Discord游戏社区通过恶意机器人传播。 2025年5月，微软联合欧盟、日本执法机构开展专项打击行动：查封2,300个C2控制域名，瓦解暗网赃数据交易市场；39.4万台受感染Windows设备被重定向至安全服务器消毒；溯源发现俄罗斯开发者“Shamel”为核心运营者，其Telegram频道拥有超千名订阅者。 防护措施建议： 谨慎处理开源平台下载内容，优先验证仓库作者信誉及代码签名； 启用内存防护功能（如Microsoft Defender PPL），阻断非授权代码注入； 对敏感账户实施硬件级双因素认证，降低凭证泄露风险； 定期检查系统进程与网络连接状态，警惕异常行为。     消息来源： cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员确认，长期活跃的Android银行木马Anatsa近期针对北美金融机构和银行应用用户发起新攻击。荷兰网络安全公司ThreatFabric追踪显示，这至少是该恶意软件第三次瞄准美国与加拿大的移动银行用户。Anatsa具备窃取银行凭证、记录键盘输入及通过远程控制工具在受感染设备上直接实施欺诈交易的能力。 攻击活动通常始于开发者向应用商店上传看似合法的Android应用（如PDF阅读器或手机清理工具），这些应用在积累数万次下载前功能正常。随后通过更新注入恶意代码，将Anatsa作为独立程序安装到设备，并根据攻击目标执行不同恶意操作。本次攻击中，恶意代码潜伏于某款文件阅读器应用，在其发布约六周后（6月24日至30日期间）通过更新推送。该应用下架前在美国Play商店免费工具榜排名前列，累计下载量超5万次。 应用安全公司Cequence首席信息安全官Randolph Barr指出，这种两阶段攻击模式具有典型性：“即使资深用户亦可能疏忽，因初始应用表现正常。”虽然黑客如何推广应用以实现广泛传播尚未明确，且被盗数据具体用途仍不清晰（可能用于勒索攻击或暗网交易），但值得关注的是此次攻击目标清单显著扩展，覆盖了更广泛的美国移动银行应用。 银行木马作为窃取金融信息的常见犯罪工具，常导致未经授权的转账、账户接管及用户重大财产损失。Barr预测未来可能出现更复杂的攻击变种：“包括针对特定银行或地区的AI个性化恶意覆盖界面、安装后实时下载的模块化载荷、通过屏幕覆盖或令牌窃取绕过MFA多因素认证，以及更隐蔽的无障碍服务滥用与会话劫持。” 本月初，ThreatFabric还发现新型Android银行木马Crocodilus正在欧洲、南美及亚洲部分地区扩散。其最新变种能在受害者通讯录插入伪造联系人，使攻击者可伪装成银行客服等可信来源实施诈骗通话，潜在规避欺诈监测系统对陌生号码的警报机制。       消息来源：cybernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一家与巴基斯坦无关的黑客组织被发现使用名为DRAT的远程访问木门程序的修改变种攻击印度政府机构。 Recorded Future旗下Insikt研究小组将此活动归因于追踪编号为TAG-140的威胁组织。该组织与SideCopy存在重合——后者被评估为透明部落（Transparent Tribe）的攻击子集群（该组织亦称为APT-C-56、APT36、Datebug、Earth Karkaddan、Mythic Leopard、Operation C-Major及ProjectM）。隶属于万事达卡的研究机构在上月发布的分析报告中指出：“TAG-140持续展现出恶意软件库与攻击手段的迭代升级与多样化能力。本次以克隆国防部新闻门户为诱饵的攻击行动，标志着其在恶意软件架构与C2功能方面均实现显著转变。” 新版DRAT被命名为DRAT V2，成为SideCopy武器库的最新成员。该组织还拥有Action RAT、AllaKore RAT、Ares RAT、CurlBack RAT、ReverseRAT、Spark RAT和Xeno RAT等工具，可同时针对Windows和Linux系统实施攻击。攻击活动展现出攻击者不断进化的战术：通过打造”可替换套件式”的多样化木马程序，在窃取敏感数据时干扰溯源、检测和监控工作。 该威胁组织的攻击范围已从政府、国防、海事和学术领域，扩展到铁路系统、石油天然气及外交部相关机构。据悉该组织自2019年起持续活跃。 Recorded Future记录的攻击链采用点击修复式攻击手法：克隆印度国防部新闻发布门户，传播新版.NET架构DRAT（现变异为Delphi编译版本）。假冒网站仅保留单一有效链接，点击后将秘密复制恶意命令至剪贴板，诱骗受害者通过命令终端执行。此举导致设备从外部服务器（trade4wealth[.]in）获取HTA文件，由mshta.exe加载名为BroaderAspect的加载器。该加载器负责下载诱饵PDF、通过注册表实现驻留、并从同一服务器获取并运行DRAT V2。 DRAT V2新增任意命令执行功能增强灵活性，其C2地址采用Base64编码混淆，并升级为支持ASCII/Unicode双模式的专属TCP协议（服务器仅响应ASCII，而原始DRAT需全程使用Unicode）。报告指出：“相较前代版本，DRAT V2减少了字符串混淆处理，多数命令头保留明文——可能更注重运行稳定性而非隐蔽性。由于缺乏高级反分析技术并采用基础驻留方式，该木马可通过静态和行为分析检测。” 其他已知功能包括：在被控主机执行侦察任务、上传额外载荷、实施数据窃取。研究人员表示：“这些功能使TAG-140能持久灵活控制系统，无需额外工具即可展开自动化或交互式攻击。DRAT V2更倾向于模块化补充而非彻底升级，这印证了TAG-140将持续轮换木马程序以隐藏特征、维持攻击灵活性的预判。” APT36攻击行动散布Ares木马与DISGOMOJI 2025年5月印巴冲突期间，巴基斯坦背景的国家级黑客组织与协同黑客行动异常活跃。APT36借机散布Ares木马，针对国防、政府、IT、医疗、教育和电信领域发动攻击。Seqrite实验室五月警告称：“Ares木马使攻击者获得系统完全控制权，可能导致监控活动、数据窃取及关键服务破坏。” 近期监测显示，APT36通过伪造国家信息中心采购订单的钓鱼邮件，向印度防务人员投递恶意PDF附件。诱导点击文档内嵌按钮后，设备将下载伪装成PDF图标的双重扩展名文件（*.pdf.exe）。该程序内置反调试和反虚拟机功能，可于内存加载具备文件枚举、键盘记录、剪贴板捕获、浏览器凭证窃取及C2通信能力的载荷。 CYFIRMA分析指出：“APT36对印度国防系统构成持续重大威胁。其钓鱼策略与凭证窃取技术印证了现代网络间谍手段的进化。”该组织还专门针对印度政府广泛使用的BOSS Linux系统，通过伪装成安全通告的钓鱼消息投放恶意ELF程序。研究机构强调：“Linux专属恶意软件的出现标志着APT36能力升级，政府与国防关键基础设施风险加剧。这种多阶段攻击可规避传统安防措施，使攻击者长期潜伏于敏感系统。” 360威胁情报中心另披露：攻击者通过钓鱼邮件散布含DISGOMOJI新变种的陷阱压缩包。该安全公司表示，这款基于Golang的ELF程序改用谷歌云服务进行C2通信，区别于此前依赖Discord的方案。“除浏览器插件窃取外，攻击者还将下载远程控制工具实施后续窃密。DISGOMOJI功能与前代载荷相似，但C2基础设施完成迁移。” Confucius组织投放WooperStealer与Anondoor 与此同时，网络间谍组织Confucius被指发起新攻击行动，散布信息窃取程序WooperStealer及新型模块化后门Anondoor。该组织据信自2013年起活跃，目标锁定南亚和东亚的政府军事单位，其攻击目标与印度密切相关。 据Seebug旗下404团队分析，攻击以Windows快捷方式文件（LNK）为起点，通过DLL劫持技术投放Anondoor后门。该后门具备完整攻击能力：可执行系统命令、屏幕截图、文件下载、Chrome密码提取及目录遍历。在收集系统信息后，恶意程序会从远程服务器获取WooperStealer。 研究报告指出：“该组织已从单一线程木马进化为模块化后门，技术迭代能力显著提升。其后门组件封装于C#动态库，通过反射机制规避沙箱检测。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全公司Trustwave SpiderLabs近期报告证实，被称为Blind Eagle的威胁行为者高度疑似使用俄罗斯防弹主机服务Proton66。研究人员通过追踪与该服务关联的数字资产，发现一个活跃攻击集群：其利用VBS脚本作为初始攻击载体，部署现成的远程访问木马（RAT）。 攻击者青睐Proton66等防弹主机服务，因其故意无视滥用举报和法律取缔要求，使钓鱼网站、C2服务器和恶意软件分发系统得以持续运作。2024年8月起，研究人员发现一组命名模式相似的域名（如gfast.duckdns[.]org），均解析至Proton66关联IP（45.135.232[.]38）。此类攻击还依赖DuckDNS等动态DNS服务——攻击者通过轮换子域名关联同一IP，大幅增加防御方检测难度。 这些域名托管多种恶意内容，包括针对哥伦比亚银行（Bancolombia、BBVA等）的钓鱼页面，以及作为恶意软件初始阶段的VBS脚本。后者实为加载器，可下载加密可执行文件并部署AsyncRAT、Remcos RAT等商用木马。VBS脚本虽显陈旧，但因兼容性高、静默运行特性，仍被用于下载恶意加载器、绕过杀毒软件并混入正常用户活动，成为多阶段攻击的首选入口点。 技术分析显示，VBS代码与付费加密服务Crypters and Tools的Vbs-Crypter工具存在重叠，该服务专门混淆VBS载荷以规避检测。此外，Trustwave还发现一个僵尸网络控制面板，支持操控受感染设备、窃取数据并通过RAT管理套件交互受控终端。 此发现与Darktrace披露的Blind Eagle活动形成印证：自2024年11月起，该组织持续利用已修复的Windows漏洞（CVE-2024-43451）攻击哥伦比亚机构，下载后续攻击载荷。Check Point在2025年3月首次记录此行为，凸显其战术适应能力——即使补丁发布后，仍能快速调整既定战术（TTPs）。Darktrace强调：“及时漏洞管理和补丁应用虽必要，但不足以独立应对此类威胁。”       消息来源： thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 越来越多的恶意活动利用了一种名为Crocodilus的新发现安卓银行木马，针对欧洲和南美用户。 根据ThreatFabric发布的一份新报告，该恶意软件还采用了改进的混淆技术来阻碍分析和检测，并新增了在受害者联系人列表中创建新联系人的能力。 荷兰安全公司ThreatFabric表示：“近期活动显示，多个攻击活动在继续针对土耳其的同时，已将欧洲国家纳入目标范围，并正将攻击版图向全球扩展至南美洲。” Crocodilus木马于2025年3月首次被公开披露，当时它通过伪装成谷歌Chrome等合法应用，主要针对西班牙和土耳其的安卓设备用户。该木马具备发起覆盖攻击的能力，攻击目标是从外部服务器获取的一系列金融应用列表，目的是窃取凭证。 它还会滥用辅助功能权限来捕获与加密货币钱包关联的助记词，这些助记词随后可被用于盗取钱包中存储的虚拟资产。 ThreatFabric的最新发现表明，该恶意软件的地理攻击范围正在扩大，并且其功能和特性也在持续开发增强，这表明其背后的运营者正在对其进行积极维护。 研究发现，针对波兰的部分攻击活动利用Facebook上的虚假广告作为传播媒介，这些广告模仿银行和电子商务平台，诱骗受害者下载应用以领取所谓的奖励积分。试图下载该应用的用户会被引导至一个恶意网站，该网站会投放Crocodilus的安装器（dropper）。 其他针对西班牙和土耳其用户的攻击波次则伪装成网络浏览器更新和在线赌场。阿根廷、巴西、印度、印度尼西亚和美国也是该恶意软件锁定的目标国家。 除了采用各种混淆技术增加逆向工程分析的难度外，新变种的Crocodilus还具备在收到“TRU9MMRHBCRO”命令后，向受害者联系人列表添加指定联系人的能力。 据推测，此功能旨在应对谷歌在安卓系统中引入的新安全防护措施——当用户在与未知联系人进行屏幕共享期间启动银行应用时，系统会发出可能的诈骗警报。 ThreatFabric分析称：“我们认为其意图是添加一个具有说服力名称（如‘银行客服’）的电话号码，使攻击者能够以看似合法的身份呼叫受害者。这也可能绕过那些标记未知号码的欺诈预防措施。” 另一个新功能是自动化的助记词收集器，它利用解析器来提取特定加密货币钱包的助记词和私钥。 该公司总结道：“涉及Crocodilus安卓银行木马的最新攻击活动，标志着该恶意软件在技术复杂性和操作范围上都发生了令人担忧的演变。值得注意的是，其攻击活动不再局限于特定区域；该木马已将触角延伸至新的地理区域，凸显出其已转变为真正的全球性威胁。”       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露一起新型恶意活动，攻击者利用仿冒Bitdefender的虚假杀毒软件下载网站，诱导用户下载名为VenomRAT的远程访问木马。此次攻击的仿冒网站“bitdefender-download[.]com”宣称提供Windows版杀毒软件下载，用户点击页面显眼的“Download for Windows”按钮后，会触发从Bitbucket仓库重定向至亚马逊S3存储桶的文件下载流程。目前该Bitbucket账户现已被封禁。 下载的ZIP压缩包（BitDefender.zip）包含名为StoreInstaller.exe的可执行文件，经分析发现其整合了VenomRAT木马配置、开源后期利用框架SilentTrinity以及StormKitty信息窃取器。VenomRAT作为Quasar RAT的变种，具备数据收集与持久化远程控制能力。DomainTools情报团队指出，该钓鱼网站基础设施与多个仿冒加拿大皇家银行、微软服务的恶意域名存在关联，这些域名此前已被用于窃取登录凭证的钓鱼活动。 攻击技术链显示，VenomRAT负责建立隐蔽通道，StormKitty窃取密码与数字钱包信息，SilentTrinity则确保攻击者维持控制权。研究人员强调：“该活动采用模块化开源组件构建的恶意软件体系，这种’自组装’策略显著提升了攻击效率与隐蔽性。” 同期曝光的另一起ClickFix式攻击活动中，攻击者伪造谷歌Meet页面，利用虚假的“麦克风权限被拒绝”错误提示诱导用户执行特定PowerShell命令，从而部署名为noanti-vm.bat的混淆批处理脚本实现远程控制。此外，针对Meta的大规模钓鱼活动借助谷歌AppSheet无代码开发平台绕过SPF、DKIM等邮件安全协议，通过动态生成唯一案例ID规避传统检测系统。钓鱼邮件伪装成Facebook支持团队，以24小时内提交申诉为由诱骗用户点击链接，跳转至中间人钓鱼页面窃取双因素认证代码。       消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员发现新型恶意软件活动正利用TikTok的病毒式传播特性与庞大用户基数，通过诱导用户执行PowerShell命令传播Vidar和StealC等窃密木马。趋势科技最新报告指出，攻击者采用AI生成的短视频教程，声称可免费激活Microsoft Office或Spotify Premium服务，实则触发恶意代码下载链。 攻击活动全程在TikTok平台内完成，恶意指令通过语音解说与画面动态展示规避传统安全检测。涉事的@gitallowed、@zane.houghton和@digitaldreams771账号（目前已被封停）发布多支AI配音视频，通过分屏演示逐步引导用户输入命令。单个视频观看量近50万次，获超2万点赞，高互动量显著提升设备感染风险。 植入的PowerShell脚本执行以下恶意操作： 在用户目录创建隐藏文件并添加至Windows Defender排除列表 从amssh[.]co等域名下载Vidar或StealC木马 采用重试逻辑确保代码执行成功率 通过注册表修改实现持久化驻留 清除日志文件消除入侵痕迹 Vidar木马通过将C2服务器IP地址嵌入Steam游戏平台及Telegram消息元数据实现通信伪装，StealC则专门窃取加密货币钱包与浏览器凭证。趋势科技呼吁企业升级防御策略，建议监控社交媒体平台高互动技术指导类视频，部署行为检测工具识别异常命令行操作，并加强用户对视听组合式社会工程学攻击的识别培训。目前TikTok已下架违规内容，但相同攻击手法的变种仍在暗网传播。       消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文