盗版Office软件“打包”多款恶意程序入侵用户系统
内容提要
网络攻击者利用盗版微软Office传播多种恶意软件，包括远程访问木马、加密货币挖掘机等。用户安装破解版Office后，恶意软件会在后台启动并获取其他组件。被入侵系统上会安装Orcus RAT、XMRig、3Proxy、PureCrypter和AntiAV等恶意软件。建议用户避免安装可疑来源的文件和盗版/破解软件。
延伸解读
恶意软件如何绕过安全检测
攻击者利用Google Drive或GitHub等合法服务托管恶意载荷，这些平台通常不会触发防病毒警告。此外，恶意软件通过Telegram或Mastodon频道动态获取下载URL，增加了检测难度。用户安装盗版Office时，安装程序会在后台启动混淆的.NET恶意软件，进而下载并执行其他组件。
恶意软件组合的持久化与危害
被入侵系统会安装多种恶意软件，包括Orcus RAT（远程控制、键盘记录、摄像头访问）、XMRig（挖掘Monero，在资源使用率高时暂停以隐藏）、3Proxy（将系统变为代理服务器）、PureCrypter（下载更多恶意载荷）和AntiAV（禁用安全软件）。这些组件通过Windows任务计划程序注册任务，确保重启后仍能运行。即使用户删除恶意软件，更新器模块也会在系统启动时重新引入。
用户防护建议
由于这些恶意文件没有数字签名，且用户常忽略杀毒软件警告，攻击者能轻易入侵系统。建议用户避免从可疑来源下载文件，尤其不要安装盗版或破解软件。对于已感染系统，仅删除恶意软件可能不够，因为更新器模块会重新引入威胁，需彻底清理。
Q&A
盗版Office软件是如何传播恶意软件的？
网络攻击者通过盗版微软Office的安装程序，在后台启动混淆的.NET恶意软件，获取其他恶意组件。
被入侵的系统上会安装哪些类型的恶意软件？
被入侵系统上会安装Orcus RAT、XMRig、3Proxy、PureCrypter和AntiAV等恶意软件。
用户如何避免安装恶意软件？
建议用户避免安装可疑来源的文件和盗版/破解软件，以降低感染风险。
恶意软件是如何在系统中持续运行的？
恶意软件组件会在Windows任务计划程序中注册任务，确保在系统重启时持续运行。
为什么盗版Office软件不容易被防病毒软件检测？
因为恶意软件通过合法服务如Google Drive或GitHub托管，通常不会触发防病毒警告。
安装盗版Office软件的风险有哪些？
安装盗版Office软件可能导致系统感染多种恶意软件，造成数据泄露和资源被滥用。
