網(wǎng)絡(luò)罪犯分子一直在嘗試一種新的分發(fā)惡意軟件的方法：通過(guò)含有指向惡意軟件的“安裝(推薦)”按鈕的過(guò)期安全證書(shū)虛假警報(bào)。

這一計(jì)劃背后的惡意軟件運(yùn)營(yíng)者顯然是指望用戶(hù)不知道安全證書(shū)是什么，也不了解安全證書(shū)的更新情況，于是利用了用戶(hù)希望保持網(wǎng)絡(luò)安全的心理。

方案

卡巴斯基實(shí)驗(yàn)室的研究人員表示，這些惡意警報(bào)已經(jīng)出現(xiàn)在許多受感染的、主題不同的網(wǎng)站上被發(fā)現(xiàn)，而最早的感染可追溯到2020年1月16日。

欺騙性通知以覆蓋的iframe形式傳遞，該iframe從第三方來(lái)源加載內(nèi)容。事實(shí)上，瀏覽器的地址欄顯示了受感染站點(diǎn)的URL，即使顯示了假警報(bào)，也會(huì)讓警告看起來(lái)是合法的。

如果用戶(hù)上當(dāng)并點(diǎn)擊“安裝(推薦)”按鈕，就會(huì)收到惡意軟件。在過(guò)去的攻擊中，這可能是下載型木馬Buerak或者M(jìn)okes后門(mén)，但在以后的攻擊中，任何類(lèi)型的惡意軟件都可以進(jìn)行分發(fā)。

舊技巧的新玩法

惡意軟件運(yùn)營(yíng)者多年來(lái)一直在使用虛假警報(bào)來(lái)促使用戶(hù)下載特定版本的、廣泛使用的某個(gè)軟件(例如Adobe Flash Player、Google Chrome)的新版本，而利用過(guò)時(shí)安全證書(shū)的警報(bào)其實(shí)只是一個(gè)很老的技巧，做了點(diǎn)新花樣。

近期用戶(hù)看到安全證書(shū)相關(guān)警報(bào)的頻次相比平時(shí)會(huì)更高，這和Let’s Encrypt將從3月4日起會(huì)撤銷(xiāo)近300萬(wàn)個(gè)TLS證書(shū)有關(guān)，惡意軟件分發(fā)者利用這個(gè)時(shí)機(jī)在積極活動(dòng)。