黑客将恶意代码隐藏在英语单词中，借以感染Windows用户

一场针对Windows的新恶意软件攻击活动，正在将恶意代码隐藏在普通英语单词中，使载荷在分析过程中看起来不那么可疑。该技术被用于传播Amatera Stealer（窃密木马）——一种瞄准受感染系统中敏感数据的信息窃取型威胁。

该攻击活动依赖ClearFake——一个长期运作的入侵行动，会攻陷合法网站，并在真实页面上植入虚假的CAPTCHA验证。访客被要求完成验证步骤，但这一提示实际上是在引导他们通过Windows“运行”对话框执行恶意命令。
GenDigital的分析师发现了这个名为WordlistLoader的新加载器，并发现它会从一份常用英语单词列表中重建隐藏的shellcode。这种手法为攻击者提供了另一种隐藏代码的方式，同时让整个感染链更依赖于人为失误，而不是软件漏洞。
GenDigital在与Cyber Security News（CSN）分享的一份报告中表示，直接风险落在那些遵从意外浏览器指令的Windows用户身上，尤其是要求按下Win+R、粘贴剪贴板内容并按下回车键的指令。这类ClickFix式诱骗手法已成为信息窃取型恶意软件的常见投递方式，因为它会诱使受害者自己启动恶意命令。
Part01
黑客将恶意代码隐藏在英语单词中
WordlistLoader将下一阶段代码存储为一串普通英语单词。通过一个包含256个不重复单词的构建专用列表，每个单词对应一个字节。加载器处理单词序列，查找每个单词在列表中的位置，并将对应字节写入内存。简言之，一份看起来无害的单词列表，只有经过加载器重新转换为机器码后，才会变成可执行的恶意软件。这使得静态检查更加困难，因为安全工具和分析人员最初看到的可能是可读文本，而不是明显的shellcode代码块。
GenDigital还发现了一个经过修改的WordlistLoader变体，用UUID值替换了英语单词列表。在该版本中，每个UUID代表一段16字节的代码，这表明操作者可以在不改变整体执行流程的情况下更换编码方式。
该加载器不仅限于隐藏代码。在启动重建后的载荷之前，它会检查是否已有另一个副本在运行，尝试恢复被篡改的系统模块函数，并干扰Windows事件日志记录。这些操作旨在加大安全监控和调查的难度。
该攻击活动始于被入侵的网站：攻击者将JavaScript注入原本合法的页面。注入的代码可以使用EtherHiding技术——从区块链智能合约中获取更多恶意内容——然后再向访客展示虚假的CAPTCHA。
Part02
虚假CAPTCHA诱导安装Amatera
当访客点击虚假的“I’m not a robot”提示后，网站会向Windows剪贴板复制一条命令。随后，受害者被指示打开“运行”对话框并粘贴该命令，从而在不知情的情况下启动一个隐藏的命令进程，该进程会访问远程WebDAV共享，并通过rundll32启动恶意DLL。
这种投递方式之所以特别有效，是因为它利用了Windows内置组件，而无需传统的漏洞利用手段。相关的WebDAV rundll32 ClickFix技术也表明，攻击者正在持续改造受信任的系统工具来执行恶意软件。
WordlistLoader最终会启动Amatera（又称ACR Stealer）。Amatera一直在积极更新，包含更强的代码混淆、规避安全钩子的方法，以及旨在恢复受保护浏览器加密密钥的例程。
该窃密木马可以窃取浏览器保存的信息，包括凭证以及可能被用于账号接管或进一步欺诈的数据。其新版本还使用了旨在与64位浏览器进程交互、并获取受Chromium Application-Bound Encryption（应用绑定加密）功能保护的密钥的技术。
用户应将任何要求打开“运行”、终端、命令提示符或PowerShell的CAPTCHA、浏览器警告或网站验证请求视为恶意行为。合法的CAPTCHA服务不会要求用户将命令粘贴到Windows中。
组织还应监控异常的rundll32活动、由剪贴板触发的命令执行、WebDAV连接以及对被入侵网站的访问。类似的虚假CAPTCHA恶意软件攻击也再次表明，用户安全意识仍然是终端防御的关键一环。
WordlistLoader通过ClearFake攻击活动投递Amatera，将欺骗性网站覆盖层与多层代码隐藏和防御规避手段相结合。
来源： freebuf