该攻击活动被发现分发多种恶意软件，例如Agent Tesla、CryptBot、Formbook、Lumma Stealer、Vidar Stealer、Remcos RAT、Quasar RAT、DCRat和XWorm。

恶意活动的目标包括石油天然气、进出口等工商业领域中财务、采购、供应链和行政部门的员工。诱饵文件使用阿拉伯语、西班牙语、葡萄牙语、波斯语和英语编写，表明攻击可能局限于特定区域。

攻击的关键在于将恶意版本的DLL文件与存在漏洞的可执行文件置于同一目录。利用搜索顺序劫持漏洞，系统会执行恶意DLL而非合法文件，从而使威胁攻击者获得代码执行能力。此次攻击活动中使用的"ahost.exe"可执行文件由GitKraken签发，通常作为GitKraken桌面应用程序的一部分分发。

对VirusTotal上相关样本的分析显示，该恶意软件以数十个文件名进行传播，包括但不限于："RFQ_NO_04958_LG2049 pdf.exe"、"PO-069709-MQ02959-Order-S103509.exe"、"23RDJANUARY OVERDUE.INV.PDF.exe"、"sales contract po-00423-025_pdf.exe"以及"Fatura da DHL.exe"。这表明攻击者使用发票和报价请求（RFQ）等主题诱骗用户打开文件。

此消息披露之际，Trellix也报告了利用浏览器套浏览器（BitB）技术的Facebook钓鱼骗局激增。该技术通过模拟Facebook认证界面，欺骗不知情用户输入凭证。攻击者使用iframe元素在受害者合法的浏览器窗口内创建虚假弹窗，使得用户几乎无法区分真实与伪造的登录页面。

研究员Mark Joseph Marti表示："攻击通常始于网络钓鱼邮件，这些邮件可能伪装成律师事务所的通信。邮件通常包含关于侵权视频的虚假法律通知，并内含伪装成Facebook登录链接的超链接。"

一旦受害者点击短链接，他们将被重定向至伪造的Meta验证码提示页面，该页面指示受害者登录其Facebook账户。这随即会触发一个采用BitB方法的弹窗，显示用于窃取凭证的虚假登录界面。

该社会工程活动的其他变种利用声称版权侵权、异常登录警报、因可疑活动导致账户即将关闭或潜在安全漏洞的网络钓鱼邮件。这些信息旨在制造虚假的紧迫感，诱导受害者访问托管在Netlify或Vercel上的页面以窃取其凭证。有证据表明此类钓鱼攻击可能自2025年7月起持续进行。

Trellix指出："通过在受害者浏览器内创建定制化的虚假登录弹窗，此方法利用了用户对认证流程的熟悉度，使得凭据窃取在视觉上几乎无法被察觉。关键转变在于对受信任基础设施的滥用：利用Netlify、Vercel等合法云托管服务以及URL缩短器来绕过传统安全过滤器，并为钓鱼页面营造虚假的安全感。"

与此同时，研究人员还发现了一个多阶段钓鱼活动，该活动利用Python有效载荷和TryCloudflare隧道，通过指向包含互联网快捷方式（URL）文件的ZIP压缩包的Dropbox链接来分发AsyncRAT。该活动的详细信息由Forcepoint X-Labs于2025年2月首次记录。

此次攻击的一个突出特点是滥用了"无文件攻击"（LotL）技术，该技术利用Windows脚本宿主、PowerShell和原生工具，以及Cloudflare的免费层基础设施来托管WebDAV服务器并规避检测。

部署在TryCloudflare域上的脚本经过精心设计，用于安装Python环境、通过Windows启动文件夹脚本建立持久性，并将AsyncRAT shellcode注入"explorer.exe"进程。同时，攻击者会向受害者显示诱饵PDF文件作为干扰机制，误导其认为访问的是合法文档。

趋势科技表示："本报告分析的AsyncRAT活动表明，威胁攻击者在滥用合法服务和开源工具以规避检测并建立持久远程访问方面日益成熟。通过使用基于Python的脚本并滥用Cloudflare免费层基础设施托管恶意有效载荷，攻击者成功将其活动隐藏在受信任域名下，绕过了传统安全控制。"

觉得这篇文章有趣吗？请关注我们的Google News、Twitter和LinkedIn，阅读我们发布的更多独家内容。

微软2026年1月补丁星期二修复3个零日漏洞和114个安全缺陷

比利时AZ Monica医院遭网络攻击后关闭所有服务器

Target员工确认泄露源代码真实有效

Betterment在加密货币诈骗邮件浪潮后确认数据泄露

新型VoidLink恶意软件框架瞄准Linux云服务器

Central Maine Healthcare数据泄露事件影响超14.5万人

比利时AZ Monica医院遭网络攻击后关闭所有服务器

新版Windows更新替换即将过期的安全启动证书

旧剧本，新规模：当防御者追逐潮流时，攻击者正在优化基本功

安全行业热衷于讨论“新”威胁。AI驱动的攻击、抗量子加密、零信任架构。但环顾四周，似乎2025年最有效的攻击方式与2015年几乎如出一辙。攻击者仍在利用那些曾经奏效的入口点——只是做得更好了。

供应链：仍在向下游蔓延

正如Shai Hulud NPM活动所揭示的，供应链仍然是一个主要问题。一个被破坏的软件包可以波及整个依赖树，影响数千个下游项目。攻击向量并未改变，改变的是攻击者识别和利用机会的效率。

AI已经降低了攻击门槛。正如AI使单人软件项目能够构建复杂应用一样，网络犯罪领域也是如此。过去需要大型有组织行动才能完成的事情，现在只需精干的团队甚至个人就能执行。我们怀疑其中一些NPM软件包攻击（包括Shai-Hulud）实际上可能是单人操作。

随着软件开发变得越来越简单，威胁行为体又展现出打持久战的能力（如XZ Utils攻击）——我们很可能会看到更多案例：攻击者发布合法的软件包以长期建立信任，然后在某一天，只需点击一个按钮，就能向所有下游用户注入恶意功能。

钓鱼攻击：仍仅需一次点击

官方商店：仍不安全

或许最令人沮丧的是：恶意软件仍在绕过官方审查。我们对窃取ChatGPT和DeepSeek对话的恶意Chrome扩展的研究揭示了一个我们从移动应用商店早已了解的事实——自动化审核和人工审核员跟不上攻击者的复杂程度。

权限问题听起来应该很熟悉，因为它本已得到解决。Android和iOS为用户提供了精细控制：你可以允许位置访问但屏蔽麦克风，仅允许应用在前台时使用摄像头而非后台。Chrome本可为扩展程序实施相同的模型——技术是现成的。这只是一个优先级和实施的问题。

然而，用户面对扩展程序请求“读取所有网站信息”的权限时，只能做出二元选择。如果一个扩展程序要求这种级别的访问权限，在大多数情况下，它将被用于恶意目的，或者会在后续更新中这样做。

攻击者没有“炫酷工具综合征”

攻击者并未在AI到来时抛弃他们的剧本——而是将其自动化。他们仍在利用供应链、钓鱼开发者、并让恶意软件绕过审查。他们只是用十分之一的资源就做到了。

我们不应在基础防护仍未奏效时追逐花哨的新防御策略。修复权限模型、强化供应链验证、使防钓鱼认证成为默认设置。基础工作现在比以往更重要，而非更不重要。

攻击者优化了基本功。防御者应优先关注什么？
加入OX参与我们即将举行的网络研讨会：

威胁情报更新：黑客的有效手段与防御方的应对措施

我们将探讨正在流行的攻击技术、实际有效的防御手段，以及在资源有限时应优先处理的事项。在此注册。

在此注册。

注：本文由OX安全研究团队负责人Moshe Siman Tov Bustan独家撰写并供稿。

觉得这篇文章有趣？
本文来自我们一位重要合作伙伴的供稿。
关注我们的Google News、Twitter和LinkedIn阅读更多独家内容。

阿姆斯特丹上诉法院判处一名44岁荷兰公民七年监禁，其罪名包括计算机黑客攻击和企图敲诈勒索。

该男子于2021年被捕，并于2022年由阿姆斯特丹地方法院定罪，但他以当局非法拦截其通信并获取定罪证据为由提出上诉。

这些通信发生在端到端加密聊天服务Sky ECC上。欧洲刑警组织于2021年"破解"了该服务，导致其首席执行官及多名用户被捕。此次行动的相关调查工作一直持续到去年。

关于执法部门获取Sky ECC信息的异议被驳回，因为辩护方未能证实其关于侵犯被告公平审判权的程序违规指控。

此人被指控入侵荷兰鹿特丹、巴伦德雷赫特和比利时安特卫普港口的服务器，以便秘密走私毒品。

法院声明指出："他犯有协助计算机黑客攻击的罪行"，并补充说明"其目的是通过入侵港口系统，实现毒品走私的隐蔽运输，从而为毒品贩运提供便利。"

该男子通过让员工插入含恶意软件的U盘，入侵了一家港口物流公司的IT系统。目前尚未明确这些员工是受欺骗还是被贿赂参与此事。

这使得黑客能够在内部系统植入远程访问工具，从数据库中窃取数据并拦截传输中的信息。

当局还提到，在2020年9月15日至2021年4月24日期间，该男子曾与他人合谋试图转售恶意软件及其使用教程。

最终，该男子因通过计算机黑客手段协助毒品贩运、在荷兰走私210公斤可卡因以及企图敲诈勒索等罪名，被判处七年监禁。

直接导航——即在浏览器中手动输入域名访问网站的行为——正面临前所未有的风险：一项新研究发现，绝大多数"停放"域名（主要是过期或闲置域名，以及热门网站的常见拼写错误）现在都被配置为重定向访问者至推送诈骗和恶意软件的网站。

2025年10月，一个仿冒FBI网络犯罪投诉中心的域名在桌面端显示无害的停放页面（左图），而移动用户则被立即导向欺诈内容（右图）。图片来源：Infoblox。

当互联网用户尝试访问过期域名或意外导航至仿冒的"域名抢注"网站时，他们通常会被带到域名停放公司的占位页面。这些公司通过展示付费第三方网站的链接，试图从这些误入流量中获利。

十年前，访问这些停放域名后被重定向到恶意网站的概率相对较低：2014年研究人员发现（PDF），无论访问者是否点击停放页面上的任何链接，停放域名将用户重定向至恶意网站的概率均低于5%。

但在过去几个月的系列实验中，安全公司Infoblox的研究人员表示，他们发现情况现已完全逆转，恶意内容目前已成为停放网站的常态。

"在大规模实验中，我们发现超过90%的情况下，访问停放域名的用户会被导向非法内容、诈骗、恐吓软件和杀毒软件订阅服务或恶意软件。这是因为停放公司将'点击'出售给广告商，而广告商往往又将流量转售给其他方，"Infoblox研究人员在今天发布的论文中写道。

Infoblox发现，如果访问者使用虚拟专用网络（VPN）或非住宅IP地址访问停放网站，这些网站会显示正常内容。例如，Scotiabank.com的客户若将域名误输为scotaibank[.]com，使用VPN时会看到正常的停放页面，但若使用住宅IP地址访问，则会被重定向至试图推送诈骗、恶意软件或其他不良内容的网站。需要强调的是，仅需使用住宅IP地址的移动设备或台式电脑访问拼写错误的域名，就会触发这种重定向。

据Infoblox透露，scotaibank[.]com的所有者拥有近3000个仿冒域名组合，包括gmail[.]com。该域名已被证实配置了自己的邮件服务器用于接收邮件。这意味着，如果您在发送邮件给Gmail用户时不小心漏掉了"gmail.com"中的字母"l"，这封邮件不会消失或退回，而是直接落入这些诈骗者手中。报告指出，该域名还在近期多起商业邮件入侵攻击中被利用，通过附有木马恶意软件的"付款失败"诱饵进行欺诈。

Infoblox发现，这个特定的域名持有者（通过公共DNS服务器torresdns[.]com暴露）针对数十个顶级互联网平台设置了域名抢注网站，包括Craigslist、YouTube、Google、Wikipedia、Netflix、TripAdvisor、Yahoo、eBay和Microsoft。这些域名抢注网站的脱敏列表可在此处查看（所列域名中的点号已替换为逗号）。

Infoblox威胁研究员David Brunsdon表示，停放页面会让访问者经历一系列重定向链，同时通过IP地理位置、设备指纹识别和Cookie来分析访问者系统，以确定最终重定向目标。

"在威胁到达之前，通常存在一条重定向链——涉及停放公司之外的一到两个域名，"Brunsdon说。"每次交接时，设备都会被反复分析，然后被传递到恶意域名，或者如果他们认为不值得攻击，则会被导向像Amazon.com或Alibaba.com这样的诱饵页面。"

访问scotaibank.com时的重定向路径样本。每个分支包含观察到的系列域名，包括颜色编码的着陆页。图片来源：Infoblox。

Infoblox指出，另一个拥有domaincntrol[.]com的威胁行为者（该域名与GoDaddy的名称服务器仅相差一个字符）长期利用DNS配置中的拼写错误将用户导向恶意网站。然而最近几个月，Infoblox发现这种恶意重定向仅发生在使用Cloudflare DNS解析器（1.1.1.1）的访问者查询错误配置域名时，其他所有访问者只会收到拒绝加载的页面。

研究人员发现，即使是知名政府域名的变体也已成为恶意广告网络的目标。

"当我们的一位研究人员试图向FBI的互联网犯罪投诉中心（IC3）举报犯罪时，他们意外访问了ic3[.]org而非ic3[.]gov，"报告指出。"他们的手机很快被重定向到一个虚假的'Drive订阅已过期'页面。他们还算幸运只遇到了诈骗；根据我们的了解，他们同样可能轻易收到信息窃取程序或木马恶意软件。"

Infoblox报告强调，他们追踪的恶意活动并未归因于任何已知方，并指出研究中提及的域名停放或广告平台与他们记录的恶意广告行为无关。

然而报告总结称，尽管停放公司声称只与顶级广告商合作，但这些域名的流量经常被出售给联盟网络，后者又多次转售流量，最终导致终端广告商与停放公司之间不存在任何商业关系。

直接导航——通过在网页浏览器中手动输入域名访问网站的行为——从未如此危险：一项新研究发现，绝大多数"停放"域名（主要是过期或闲置域名，或是热门网站的常见拼写错误）现在都被配置为重定向访问者至推送诈骗和恶意软件的网站。

一个模仿FBI网络犯罪投诉中心网站的相似域名，在2025年10月返回了无威胁的停放页面（左图），而移动用户则被立即导向欺骗性内容（右图）。图片来源：Infoblox。

当互联网用户尝试访问过期域名或意外导航至相似的"域名抢注"域名时，他们通常会被带到域名停放公司的占位页面，这些公司通过展示多个付费展示链接的第三方网站链接，试图从这些误入流量中获利。

十年前，访问这些停放域名后被重定向到恶意目的地的风险相对较小：2014年，研究人员发现（PDF）停放域名将用户重定向至恶意网站的概率不到5%——无论访问者是否点击了停放页面上的任何链接。

但在过去几个月的系列实验中，安全公司Infoblox的研究人员表示，他们发现情况现已逆转，恶意内容目前已成为停放网站的常态。

"在大规模实验中，我们发现超过90%的情况下，访问停放域名的用户会被导向非法内容、诈骗、恐吓软件和杀毒软件订阅，或恶意软件，因为点击流量从停放公司出售给广告商，而广告商通常又将流量转售给另一方，"Infoblox研究人员在今天发布的论文中写道。

Infoblox发现，如果访问者使用虚拟专用网络（VPN）或非住宅互联网地址访问网站，停放网站是良性的。例如，Scotiabank.com的客户如果不小心将域名误输入为scotaibank[.]com，使用VPN时会看到正常的停放页面，但如果来自住宅IP地址，则会被重定向至试图推送诈骗、恶意软件或其他不良内容的网站。同样，仅通过使用住宅IP地址的移动设备或台式电脑访问拼写错误的域名，就会发生这种重定向。

根据Infoblox的数据，拥有scotaibank[.]com的个人或实体拥有近3000个相似域名组合，包括gmai[.]com，该域名显然已配置了自己的邮件服务器以接收传入的电子邮件。这意味着，如果您向Gmail用户发送电子邮件时不小心遗漏了"gmail.com"中的"l"，该邮件不会消失在以太网中或产生退回回复：它会直接发送给这些诈骗者。报告指出，该域名还在最近的多次商业电子邮件入侵活动中被利用，使用附有木马恶意软件的付款失败诱饵。

Infoblox发现，这个特定的域名持有者（通过一个常见的DNS服务器——torresdns[.]com暴露）已建立了针对数十个顶级互联网目的地的域名抢注域名，包括Craigslist、YouTube、Google、Wikipedia、Netflix、TripAdvisor、Yahoo、eBay和Microsoft。这些域名抢注域名的无害列表可在此处获取（所列域名中的点已替换为逗号）。

Infoblox的威胁研究员David Brunsdon表示，停放页面通过一系列重定向引导访问者，同时使用IP地理位置、设备指纹识别和Cookie来分析访问者的系统，以确定将域名访问者重定向至何处。

"在威胁到达之前，通常是一系列重定向链——停放公司之外的一两个域名，"Brunsdon说。"每次交接时，设备都会被反复分析，然后被传递到恶意域名，或者如果他们决定不值得作为目标，则传递到像Amazon.com或Alibaba.com这样的诱饵页面。"

访问scotaibank dot com时的重定向路径示例。每个分支包括观察到的一系列域名，包括颜色编码的着陆页。图片来源：Infoblox。

Infoblox表示，另一个拥有domaincntrol[.]com的威胁行为者——该域名与GoDaddy的名称服务器仅相差一个字符——长期以来一直利用DNS配置中的拼写错误将用户导向恶意网站。然而，最近几个月，Infoblox发现恶意重定向仅发生在对配置错误域名的查询来自使用Cloudflare DNS解析器（1.1.1.1）的访问者时，而所有其他访问者将收到一个拒绝加载的页面。

研究人员发现，即使是知名政府域名的变体也成为恶意广告网络的目标。

"当我们的一位研究人员试图向FBI的互联网犯罪投诉中心（IC3）报告犯罪时，他们不小心访问了ic3[.]org而不是ic3[.]gov，"报告指出。"他们的手机很快被重定向到一个虚假的'Drive Subscription Expired'页面。他们很幸运只遇到了诈骗；根据我们了解到的情况，他们同样可能轻易地收到信息窃取程序或木马恶意软件。"

Infoblox报告强调，他们追踪的恶意活动并未归因于任何已知方，并指出研究中提到的域名停放或广告平台并未涉及其记录中的恶意广告。

然而，报告总结道，尽管停放公司声称只与顶级广告商合作，但这些域名的流量经常被出售给联盟网络，而联盟网络又经常转售流量，以至于最终广告商与停放公司之间没有业务关系。

曝盗版 “牛头人” 游戏内藏病毒！千万别下载 _ 游民星空 GamerSky.com

直接导航——即在浏览器中手动输入域名访问网站的行为——正面临前所未有的风险：一项新研究发现，绝大多数"停放"域名（主要是过期或闲置域名，以及热门网站的常见拼写错误）现在都被配置为重定向访问者至推送诈骗和恶意软件的网站。

2025年10月，一个仿冒FBI网络犯罪投诉中心的域名在桌面端显示无威胁的停放页面（左图），而移动用户则被立即导向欺诈内容（右图）。图片来源：Infoblox。

当互联网用户尝试访问过期域名或意外导航至仿冒的"域名抢注"网站时，他们通常会被带到域名停放公司的占位页面。这些公司通过展示付费第三方网站的链接，试图从这些误入流量中获利。

十年前，访问这些停放域名后被重定向到恶意网站的概率相对较低：2014年，研究人员发现（PDF）停放域名将用户重定向至恶意网站的概率不到5%——无论访问者是否点击了停放页面上的任何链接。

但在过去几个月的系列实验中，安全公司Infoblox的研究人员表示，他们发现情况现已逆转，恶意内容目前已成为停放网站的常态。

"在大规模实验中，我们发现超过90%的情况下，访问停放域名的用户会被导向非法内容、诈骗、恐吓软件和杀毒软件订阅，或恶意软件。这是因为点击流量从停放公司出售给广告商，而广告商通常又将这些流量转售给第三方，"Infoblox研究人员在今天发布的论文中写道。

Infoblox发现，如果访问者使用虚拟专用网络（VPN）或非住宅IP地址访问网站，停放网站是良性的。例如，Scotiabank.com的客户若将域名误输为scotaibank[.]com，使用VPN时会看到正常的停放页面，但若使用住宅IP地址访问，则会被重定向至试图推送诈骗、恶意软件或其他不良内容的网站。同样，仅需使用住宅IP地址的移动设备或台式电脑访问拼写错误的域名，就会触发此重定向。

据Infoblox称，scotaibank[.]com的所有者拥有近3000个仿冒域名组合，包括gmai[.]com。该域名已被证实配置了自己的邮件服务器以接收传入的电子邮件。这意味着，如果您向Gmail用户发送电子邮件时不小心漏掉了"gmail.com"中的字母"l"，这封邮件不会消失在以太网中或产生退信回复：它会直接发送给这些诈骗者。报告指出，该域名还在近期多起商业电邮入侵攻击中被利用，使用附带木马恶意软件的付款失败诱饵。

Infoblox发现，这个特定的域名持有者（通过一个共同的DNS服务器——torresdns[.]com暴露）已针对数十个顶级互联网目标设置了域名抢注域名，包括Craigslist、YouTube、Google、Wikipedia、Netflix、TripAdvisor、Yahoo、eBay和Microsoft。这些域名抢注域名的无害列表可在此处查看（所列域名中的点已替换为逗号）。

Infoblox的威胁研究员David Brunsdon表示，停放页面会引导访问者经过一系列重定向链，同时使用IP地理位置、设备指纹识别和Cookie来分析访问者的系统，以确定将域名访问者重定向至何处。

"在威胁到达之前，通常存在一个重定向链——停放公司之外的一到两个域名，"Brunsdon说。"每次交接时，设备都会被反复分析，然后被传递到恶意域名，或者如果他们认为不值得作为目标，则传递到像Amazon.com或Alibaba.com这样的诱饵页面。"

Brunsdon称，域名停放服务声称他们在停放页面上返回的搜索结果旨在与其停放域名相关，但他们测试的显示内容几乎都与仿冒域名无关。

访问scotaibank.com时的重定向路径示例。每个分支包括观察到的系列域名，包括颜色编码的着陆页。图片来源：Infoblox。

Infoblox表示，另一个拥有domaincntrol[.]com的威胁行为者（该域名与GoDaddy的名称服务器仅差一个字符）长期以来一直利用DNS配置中的拼写错误将用户导向恶意网站。然而，最近几个月，Infoblox发现恶意重定向仅发生在使用Cloudflare DNS解析器（1.1.1.1）的访问者查询配置错误的域名时，而所有其他访问者将收到一个拒绝加载的页面。

研究人员发现，即使是知名政府域名的变体也成为恶意广告网络的目标。

"当我们的一位研究人员试图向FBI的网络犯罪投诉中心（IC3）报告犯罪时，他们不小心访问了ic3[.]org而不是ic3[.]gov，"报告指出。"他们的手机很快被重定向到一个虚假的'Drive Subscription Expired'页面。他们很幸运只遇到了诈骗；根据我们的了解，他们同样可能轻易地收到信息窃取程序或木马恶意软件。"

Infoblox报告强调，他们追踪的恶意活动并未归因于任何已知方，并指出研究中提及的域名停放或广告平台与他们记录的恶意广告活动无关。

直接导航——通过在网页浏览器中手动输入域名访问网站的行为——从未如此危险：一项新研究发现，绝大多数“停放”域名（主要是过期或闲置的域名，或是热门网站的常见拼写错误）现在被配置为重定向访问者至推送诈骗和恶意软件的网站。

一个模仿FBI互联网犯罪投诉中心网站的相似域名，在2025年10月曾返回一个无威胁的停放页面（左图），而移动用户则被立即导向欺骗性内容（右图）。图片来源：Infoblox。

当互联网用户尝试访问过期域名或意外导航至相似的“域名抢注”域名时，他们通常会被带到一个域名停放公司的占位页面，该公司通过展示一系列付费链接的第三方网站来试图从这些误入流量中获利。

十年前，访问这些停放域名时被重定向到恶意目的地的风险相对较小：2014年，研究人员发现（PDF）停放域名将用户重定向至恶意网站的概率不到5%——无论访问者是否点击了停放页面上的任何链接。

但在过去几个月的系列实验中，安全公司Infoblox的研究人员表示，他们发现情况现已逆转，恶意内容目前是停放网站的绝对常态。

“在大规模实验中，我们发现超过90%的情况下，访问停放域名的用户会被导向非法内容、诈骗、恐吓软件和杀毒软件订阅，或恶意软件，因为‘点击’从停放公司出售给广告商，而广告商通常又将该流量转售给另一方，”Infoblox研究人员在今天发布的一篇论文中写道。

Infoblox发现，如果访问者使用虚拟私人网络（VPN）或非住宅互联网地址访问网站，停放网站是良性的。例如，Scotiabank.com的客户如果不小心将域名误输入为scotaibank[.]com，在使用VPN时会看到一个正常的停放页面，但如果来自住宅IP地址，则会被重定向到一个试图推送诈骗、恶意软件或其他不良内容的网站。同样，仅通过使用住宅IP地址的移动设备或台式电脑访问拼写错误的域名，就会发生这种重定向。

据Infoblox称，拥有scotaibank[.]com的个人或实体拥有近3000个相似域名组合，包括gmai[.]com，该域名显然已配置了自己的邮件服务器以接收传入的电子邮件。这意味着，如果您向Gmail用户发送电子邮件，却不小心从“gmail.com”中漏掉了“l”，那么这封邮件不会消失在以太网中或产生退回回复：它会直接发送给这些诈骗者。报告指出，该域名还在最近的多个商业电子邮件入侵活动中被利用，使用附有木马恶意软件的付款失败诱饵。

Infoblox发现，这个特定的域名持有者（通过一个常见的DNS服务器——torresdns[.]com暴露）已建立了针对数十个顶级互联网目的地的域名抢注域名，包括Craigslist、YouTube、Google、Wikipedia、Netflix、TripAdvisor、Yahoo、eBay和Microsoft。这些域名抢注域名的无害化列表可在此处获取（所列域名中的点已替换为逗号）。

Infoblox的威胁研究员David Brunsdon表示，停放页面通过一系列重定向引导访问者，同时使用IP地理位置、设备指纹识别和Cookie来分析访问者的系统，以确定将域名访问者重定向至何处。

“在威胁到达之前，通常是一连串的重定向——停放公司之外的一两个域名，”Brunsdon说。“每次交接时，设备都会被反复分析，然后被传递到一个恶意域名，或者如果他们决定不值得作为目标，则传递到像Amazon.com或Alibaba.com这样的诱饵页面。”

Brunsdon表示，域名停放服务声称他们在停放页面上返回的搜索结果旨在与其停放域名相关，但他们测试的几乎所有显示内容都与相似域名无关。

访问scotaibank dot com时的重定向路径示例。每个分支包括一系列观察到的域名，包括颜色编码的着陆页。图片来源：Infoblox。

Infoblox表示，另一个拥有domaincntrol[.]com的威胁行为者——该域名与GoDaddy的名称服务器仅相差一个字符——长期以来一直利用DNS配置中的拼写错误将用户导向恶意网站。然而，最近几个月，Infoblox发现恶意重定向仅发生在对配置错误的域名的查询来自使用Cloudflare DNS解析器（1.1.1.1）的访问者时，而所有其他访问者将收到一个拒绝加载的页面。

研究人员发现，即使是知名政府域名的变体也成为恶意广告网络的目标。

“当我们的一位研究人员试图向FBI的互联网犯罪投诉中心（IC3）报告犯罪时，他们不小心访问了ic3[.]org而不是ic3[.]gov，”报告指出。“他们的手机很快被重定向到一个虚假的‘Drive Subscription Expired’页面。他们很幸运只遇到了诈骗；根据我们了解到的情况，他们同样可能轻易地收到信息窃取程序或木马恶意软件。”

Infoblox报告强调，他们追踪的恶意活动并未归因于任何已知方，并指出研究中提到的域名停放或广告平台并未涉及其记录中的恶意广告活动。

来源火绒安全近期发现多款日本色情游戏（来源 BT 站）捆绑有高隐蔽挖矿木马。
木马利用 “白加黑” 技术植入，会大量消耗电脑 CPU 与内存。
而且这木马有防检测手段:
当你打开任务管理器时候，木马就会停止运行挖矿操作，防止被发现

来源

新发现显示，已经发现了与名为Wslink的恶意软件下载器相关的新后门，该工具可能被臭名昭著的朝鲜联盟Lazarus集团使用。

该有效负载被ESET称为WinorDLL64，是一种功能齐全的植入物，可以泄露，覆盖和删除文件;执行PowerShell命令;并获取有关底层机器的全面信息。

它的其他功能包括列出活动会话、创建和终止进程、枚举驱动器和压缩目录。

Wslink 于 2021 年 10 月由斯洛伐克网络安全公司首次记录，将其描述为一个“简单而非凡”的恶意软件加载程序，能够在内存中执行收到的模块。

“Wslink有效载荷可以在以后用于横向移动，因为它对网络会话特别感兴趣，”ESET研究员Vladislav Hrčka说。“Wslink 加载程序侦听配置中指定的端口，可以为其他连接客户端提供服务，甚至可以加载各种有效负载。”

据说利用该恶意软件的入侵具有高度针对性，因为迄今为止在中欧、北美和中东仅观察到少数检测。

2022 年 3 月，ESET 详细阐述了该恶意软件使用“高级多层虚拟机”混淆器来逃避检测并抵制逆向工程。

Lazarus Group与Lazarus集团的联系源于行为和代码与以前的活动（GhostSecret行动和Bankshot）的重叠，这些活动归因于高级持续威胁。

这包括与McAfee在2018年详细介绍的GhostSecret示例的相似之处，这些示例带有作为服务运行的“数据收集和植入安装组件”，反映了Wslink的相同行为。

ESET表示，有效载荷是从韩国上传到VirusTotal恶意软件数据库的，一些受害者就在那里，这增加了Lazarus参与的可信度。

调查结果再次证明了Lazarus集团用来渗透其目标的大量 黑客工具。

“Wslink的有效载荷致力于提供文件操作，执行进一步代码的方法，并获取有关底层系统的广泛信息，这些信息以后可能用于横向移动，”ESET说。