从游戏作弊到系统沦陷：恶意软件通过篡改外挂侵害玩家
内容提要
Unit 42发现Blitz恶意软件通过篡改版手游《对峙2》的作弊程序传播，具备多阶段攻击能力，窃取数据并进行加密货币挖矿。该软件利用Hugging Face Spaces作为命令控制通道，已在26个国家发现感染案例。报告提醒用户避免从非官方渠道下载破解软件，以降低网络安全风险。
关键要点
-
Unit 42发现Blitz恶意软件通过篡改版手游《对峙2》的作弊程序传播。
-
Blitz恶意软件具备多阶段攻击能力，窃取敏感数据并进行加密货币挖矿。
-
该软件利用Hugging Face Spaces作为命令控制通道，已在26个国家发现感染案例。
-
恶意作弊包通过Telegram频道传播，运营者使用西里尔字母进行推广。
-
Blitz采用双阶段攻击模式，第一阶段为加载器，第二阶段为僵尸程序。
-
恶意软件具备键盘记录、屏幕截图、文件传输和DDoS攻击等功能。
-
Blitz恶意软件滥用合法云服务Hugging Face Spaces进行攻击。
-
截至2025年4月，已在289例活跃感染中发现该恶意软件，受影响地区包括俄罗斯、乌克兰等。
-
恶意软件作者发布告别声明，声称创建清除工具，但研究人员认为这是障眼法。
-
报告警告用户避免从非官方渠道下载破解软件，以降低网络安全风险。
延伸解读
恶意软件的传播途径
Blitz恶意软件通过篡改版手游《对峙2》的作弊程序进行传播，利用Telegram频道进行推广。这种传播方式使得大量玩家在追求游戏优势时，可能无意中下载了带有恶意代码的文件，增加了网络安全风险。
双阶段攻击模式的风险
Blitz恶意软件采用双阶段攻击模式，首先通过加载器下载僵尸程序，后者具备键盘记录和DDoS攻击等功能。这种复杂的攻击结构使得检测和防御变得更加困难，用户需提高警惕，避免下载不明来源的软件。
合法平台的滥用
Blitz恶意软件利用Hugging Face Spaces等合法云服务作为命令控制通道，这一现象提醒用户，合法平台也可能被恶意利用。用户在使用云服务时，应关注其安全性，避免成为攻击的间接受害者。
延伸问答
Blitz恶意软件是如何传播的？
Blitz恶意软件通过篡改版手游《对峙2》的作弊程序传播，主要通过Telegram频道发布的作弊包进行传播。
Blitz恶意软件具备哪些攻击能力？
Blitz恶意软件具备多阶段攻击能力，包括窃取敏感数据、加密货币挖矿、键盘记录、屏幕截图和DDoS攻击等功能。
Hugging Face Spaces在Blitz攻击中扮演了什么角色？
Blitz恶意软件滥用Hugging Face Spaces作为命令控制通道，存储恶意载荷并进行攻击。
Blitz恶意软件的双阶段攻击模式是怎样的？
Blitz采用双阶段攻击模式，第一阶段为加载器，通过PowerShell获取第二阶段的僵尸程序。
用户如何降低感染Blitz恶意软件的风险？
用户应避免从非官方渠道下载破解软件，以降低网络安全风险。
Blitz恶意软件的影响范围有多广？
截至2025年4月，Blitz恶意软件在26个国家发现289例活跃感染，受影响地区包括俄罗斯、乌克兰等。
