虚假的谷歌浏览器错误正诱导用户运行恶意PowerShell脚本
内容提要
Proofpoint的安全研究人员发现黑客组织利用虚假的Chrome浏览器、Word和OneDrive等程序的运行错误来诱导用户安装运行带有恶意PowerShell的修复程序。黑客组织包括ClearFake和TA571。攻击链主要有三种方式，利用用户对PowerShell命令风险认知的匮乏和Windows无法检测和阻止粘贴代码发起的恶意操作。有效载荷包括DarkGate、Matanbuchus、NetSupport、Amadey Loader、XMRig、剪贴板劫持者和Lumma Stealer。
延伸解读
攻击链的多样性：初始入侵的三种伪装
Proofpoint观察到三种攻击链，初始阶段各有不同：第一种通过受感染网站加载币安智能链上的恶意脚本，显示虚假Google警告；第二种利用注入程序创建iframe覆盖虚假Chrome错误；第三种使用类似Word文档的HTML附件，诱导安装Word Online扩展。尽管初始诱饵不同，但最终都导向用户手动执行恶意PowerShell命令，体现了攻击者针对不同场景的灵活策略。
社会工程学核心：利用用户对PowerShell的认知盲区
攻击者成功的关键在于利用目标用户对PowerShell命令风险认知的匮乏。他们诱导用户将恶意代码复制到剪贴板，并指导用户在管理员权限的PowerShell中粘贴执行。由于Windows无法检测和阻止粘贴代码发起的恶意操作，这一手法绕过了系统防护。用户往往误以为是在修复错误，实则亲手执行了恶意脚本。
恶意载荷的多样性：从信息窃取到加密货币挖矿
Proofpoint观察到的有效载荷包括DarkGate、Matanbuchus、NetSupport、Amadey Loader、XMRig、剪贴板劫持者和Lumma Stealer。这些载荷功能各异：DarkGate和Matanbuchus是远程访问木马，NetSupport可用于远程控制，Amadey Loader负责分发其他恶意软件，XMRig是加密货币挖矿程序，剪贴板劫持者篡改剪贴板内容，Lumma Stealer则窃取敏感信息。攻击者可根据目标价值部署不同载荷。
攻击的交互性与欺骗性：每一步都看似合理
这些攻击虽然需要大量用户交互，但每一步操作都设计得足够以假乱真。例如，虚假的Chrome错误提示用户安装“根证书”，Word提示提供“如何修复”和“自动修复”选项，后者甚至使用search-ms协议显示远程文件共享中的“fix.msi”或“fix.vbs”。这种高度交互的欺骗手法降低了用户的警惕性，使得攻击即使步骤繁琐仍能成功。
Q&A
黑客是如何利用虚假的Chrome浏览器错误进行攻击的？
黑客通过显示虚假的Chrome浏览器错误，诱导用户安装恶意PowerShell脚本，通常伴随提示用户粘贴代码。
涉及哪些黑客组织在进行这些攻击？
涉及的黑客组织包括ClearFake和TA571。
这些攻击链的主要步骤是什么？
攻击链主要包括诱导用户粘贴恶意PowerShell命令、下载恶意软件和执行反虚拟机检查等步骤。
用户如何被诱导安装恶意软件？
用户被诱导通过虚假的错误提示和安装建议，粘贴恶意代码到PowerShell中，从而安装恶意软件。
这些攻击的有效载荷包括哪些？
观察到的有效载荷包括DarkGate、Matanbuchus、NetSupport、Amadey Loader、XMRig、剪贴板劫持者和Lumma Stealer。
攻击者利用了用户对PowerShell命令的哪些认知缺陷？
攻击者利用了用户对PowerShell命令风险认知的匮乏，使得用户容易被诱导执行恶意命令。
