投稿
  1. 谷达鸭首页
  2. 投稿

骇客藉由入侵WordPress网站，使造访者电脑被植入恶意的Chrome扩充程序

数码评测 • • 投稿

近期有800多个WordPress网站遭植入恶意程序，资安业者Avast发现，这是一起复杂的攻击手法，先诱使造访遭入侵网站的用户安装假Java Runtime，最终将安装恶意Chrome扩充程序，用以窃取受害者密码、凭证等

骇客藉由入侵WordPress网站，使造访者电脑被植入恶意的Chrome扩充程序

资安业者Avast在本周揭露了一起复杂的Chaes金融木马攻击手法，黑客先入侵了800个WordPress网站，再引诱造访相关网站的用户安装假冒的Java Runtime，进而于Chrome浏览器上植入恶意扩充程序，目的是为了窃取存放于Chrome上的机密凭证。

目前Avast并不确定黑客是如何入侵众多WordPress网站的，猜测是开采WordPress内容管理系统的安全漏洞，且在这800个被骇网站中，有超过700个都是使用巴西的顶级域名，显示此一攻击锁定的是巴西用户。

当用户造访了已遭入侵的 WordPress 网站之后，就会跳出一个要求用户安装 Java Runtime 的窗口，它看起来就像是真的 Java 安装功能，但实际安装的却是install.js、 sched.js与sucesso.js等3个恶意的JavaScript档案，install.js负责下载另一个脚本程序，以部署下一阶段所需的Python环境，sched.js主要建立长驻能力，sucesso.js则担任向C&C服务器回报任务进度的角色。

接着便进入了Python的内存内加载程序，它会加载各种Python/JavaScript脚本程序、Shellcode、Delphi DLLs与.NET PE等，直至执行Instructions.js。

而Instructions.js的任务即是下载恶意的Chrome扩充程序，包括纪录受害者指纹的Online、便可抓取屏幕画面的Mtps4、可自Chrome窃取密码的、金融木马Chronodx，以及锁定在线购物平台Mercado Libre凭证的Chremows。

骇客藉由入侵WordPress网站，使造访者电脑被植入恶意的Chrome扩充程序

根据Avest的说明，当用户造访了遭入侵的WordPress网站时，网页上会跳出一个看似要求用户安装Java Runtime的窗口，但它实际安装的是3个恶意JavaScript档案。

赞 (0)
打赏 微信扫一扫 微信扫一扫
数码评测数码评测认证作者
0 0

相关推荐

发表评论

登录后才能评论