- 黑客正部署虚假 reCAPTCHA 弹窗以安装 Amatera Stealer 恶意软件，针对加密钱包和浏览器数据。
- eSentire 报告称，ClickFix 驱动的恶意攻击通过欺骗性安全提示传播 Amatera 和 NetSupport RAT。
- 新的钓鱼工具包和混淆技术（包括 Cephas）正在扩大恶意软件活动的影响范围，波及被入侵的网站和虚假验证页面。
网络安全组织 eSentire 发现，攻击者利用仿 CAPTCHA 风格的弹窗诱骗受害者部署凭证窃取恶意软件 Amatera Stealer 和 NETSupport RAT，其手段是滥用一种名为 ClickFix 的技术。
eSentire 威胁响应团队 (TRU) 一直在追踪 11 月期间滥用 ClickFix 以获取目标系统初始访问权限的活动升级。据 TRU 称，威胁行为者利用该方法通过社会工程学诱导受害者在 Windows“运行”对话框中手动执行恶意命令。
一旦执行，这些命令将启动感染链，最终部署 Amatera Stealer 和 NetSupport RAT。两者均为合法的远程监控工具，但已被网络犯罪分子重新利用，用于未经授权的远程访问。
ClickFix 活动利用 reCAPTCHA 植入恶意软件
根据 eSentire 的研究 发布 上周四，黑客利用伪装成“安全检查”的虚假网站和弹窗诱骗受害者，其中包括欺诈性的 reCAPTCHA 验证框和伪造的 Cloudflare Turnstile 页面。
这些欺骗性界面提示用户“修复”所谓的问题，其指令导致用户在未意识到风险的情况下执行有害命令。一旦初始命令运行，首先会交付 Amatera Stealer，随后安装 NetSupport Manager，使黑客能够像亲临现场一样监控和控制受感染的机器。
Amatera Stealer 并非全新威胁，而是 ACR Stealer（又称 AcridRain）的最新演进版本。该早期版本于 2024 年首次作为“恶意软件即服务”产品出现在黑客论坛上，并被多名用户通过订阅套餐进行部署。
ACR 的销售于 2024 年中暂停，当时其开发者（网上名为 SheldIO）出售了该恶意软件的源代码。尽管发布了出售公告，该组织仍表示这“并非”其开发的终结。研究人员现在认为 Amatera 是 ACR 的直接继任者，它被重新构建并具备更多功能及新的规避技术。
Amatera 由安全审计公司 Proofpoint 于 6 月发现，目前以订阅方式提供，月费为 199 美元起，年费高达 1,499 美元。
eSentire 表示："Amatera 为威胁行为者提供了广泛的数据外泄能力，针对加密钱包、浏览器、即时通讯应用、FTP 客户端和电子邮件服务。它采用先进的规避策略，如 WoW64 SysCalls，以绕过沙箱、防病毒解决方案和 EDR 产品所使用的用户模式挂钩机制。”
该恶意软件使用 C++ 编写，能够 窃取 保存的密码、银行卡详情、浏览历史记录，以及来自 Chrome、Brave、Edge、Opera、Firefox 等浏览器，以及 Tor Browser 和 Thunderbird 等专业平台的文件。
隐藏恶意软件的多阶段 Windows PowerShell 加载器
根据 eSentire 的威胁分析，Amatera 的感染过程建立在多层混淆的 PowerShell 命令之上。
TRU 研究人员观察到其中一个阶段使用异或 (XOR) 处理字符串“AMSI_RESULT_NOT_DETECTED”来解密后续负载，该术语与微软的反恶意软件扫描接口 (AMSI) 相关。加载器的开发者可能故意选择此短语，以干扰进行动态分析的 researchers。
虽然 Amatera 是此类活动中最常见的负载，但 eSentire 还记录了同一加载器被用于部署其他信息窃取者的案例，包括 Lumma 和 Vidar。部分样本缺少运行多阶段加载器所需的配置参数，因此黑客选择直接部署 NetSupport Manager。
eSentire 和其他安全公司已记录到通过电子邮件活动分发伪装成发票的 VBScript 文件的情况。一旦打开这些文件，便会执行批处理脚本，启动 PowerShell 加载器以投放 XWorm。
其他活动涉及被入侵的网站，这些网站将访问者重定向至伪造的 Cloudflare 验证页面，模仿 ClickFix 提示。此类活动与代号为 SmartApeSG、HANEYMANEY 和 ZPHP 的行动有关，其最终载荷均为 NetSupport RAT。
黑客构建了假冒的 Booking.com 网站，托管虚假的 CAPTCHA 验证，指示用户打开 Windows“运行”对话框并执行命令，从而直接在受感染系统上安装凭证窃取脚本。
部分 网络钓鱼活动 与这些恶意软件投放相关联，正在使用一种名为 Cephas 的新型网络钓鱼工具包。据网络安全解决方案公司 Barracuda 称，Cephas 采用了一种先进的混淆技术，在钓鱼页面的源代码中插入不可见字符，使得自动化扫描器难以检测。
“该工具包通过在源代码中创建随机的不可见字符来隐藏其代码，从而帮助其规避反网络钓鱼扫描器，并阻碍基于签名的 YARA 规则匹配确切的网络钓鱼方法，”Barracuda 另一篇帖子中 在其上周的分析中指出。
最聪明的加密领域人士已经在阅读我们的通讯。想加入吗？加入他们。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Florence Muchai
Florence 过去 6 年一直报道加密货币、游戏、科技和人工智能新闻。她在梅鲁科技大学修读计算机研究，并在马林加莫伊科学与技术大学学习灾害管理与国际外交，这些经历充分赋予她语言、观察和技术技能。Florence 曾在 VAP Group 工作，并担任多家加密货币媒体的编辑。
