黑客在百度付费推广Notepad++带毒版 专门针对Mac和Linux用户
内容提要
卡巴斯基安全实验室发现黑客在百度搜索上付费投放广告，诱导用户下载带病毒的Notepad++。百度已撤掉相关广告并标记有害内容。
延伸解读
攻击者的公司化运作
文章指出，投放带毒广告的济南赴文信息科技有限公司注册于2023年9月，其关联公司济南帆利信息科技有限公司也注册了域名并申请ICP备案。两家公司均因无法通过注册地址取得联系而被列入经营异常名单，这暗示它们可能是专门用于在百度搜索上认证和投放广告的空壳公司。这种公司化运作增加了攻击的隐蔽性，也反映出付费搜索广告审核可能存在的漏洞。
Mac和Linux用户为何成为目标
与常见主要针对Windows用户的攻击不同，此次黑客的钓鱼网站直接提供Windows、Mac和Linux的下载按钮，但Windows版链接指向真实的Notepad++，而Mac和Linux版链接则是后门程序。这种选择性攻击表明黑客可能有意针对Mac和Linux开发者，原因可能是这些系统通常被认为更安全，用户警惕性较低，或者攻击者意图窃取特定开发环境中的敏感信息。
后门程序的监控能力
卡巴斯基分析发现，该后门程序支持多种功能，包括创建SSH连接、生成新代理、截图、获取进程列表、终止进程、扫描端口、读写剪切板、上传下载文件等。这些功能组合起来，几乎可以实现对开发者的全方位监控，攻击者可能借此窃取源代码、凭证或其他敏感数据。尽管具体目的尚不明确，但后门的高危性不容忽视。
事件响应与后续风险
文章提到，卡巴斯基的分析工作在一周前开始，目前百度搜索Notepad++仍有推广信息，但已无赴文信息的广告。同时，百度已标记另一款带毒软件Vnote的广告为可能有害，可能是因卡巴斯基的通报。这表明平台在接到通报后采取了行动，但用户仍需警惕其他可能存在的恶意广告，下载软件时应尽量选择官方渠道。
Q&A
黑客是如何诱导用户下载带毒的Notepad++的？
黑客通过在百度搜索上付费投放广告，诱导用户下载带病毒的Notepad++。
济南赴文信息科技有限公司的背景是什么？
济南赴文信息科技有限公司注册于2023年9月，可能是空壳公司，专门用于在百度搜索上认证和投放广告。
黑客的后门程序具备哪些功能？
后门程序支持创建SSH连接、截图、获取进程列表等多种功能，能够对开发者进行全方位监控。
百度对带毒广告采取了什么措施？
百度已撤掉相关广告并标记有害内容，特别是针对Vnote的广告。
黑客为何选择Mac和Linux用户作为目标？
黑客不仅针对Windows用户，还通过付费广告吸引Mac和Linux用户，显示其目标复杂。
卡巴斯基是如何发现这一事件的？
卡巴斯基安全实验室通过分析用户下载的Notepad++，发现了黑客的付费广告行为。
