长亭百川云 - 文章详情

【安全圈】又一全新恶意软件曝光,曾滥用微软驱动程序签名系统

安全圈

70

2024-07-20

关键词

近日,研究人员发现了一种名为 HotPage.exe 的新型恶意软件。

这种恶意软件最初是在 2023 年底被检测到的,起初它伪装成了一个安装程序,表面上可以通过阻止广告和恶意网站来改善网页浏览。

但它实际上是将代码注入远程进程并拦截浏览器流量。正如 ESET 在今天早些时候发布的一份公告中所描述的,该恶意软件可以修改、替换或重定向网页内容,并根据特定条件打开新标签。

有趣的是,HotPage.exe 的嵌入式驱动程序是由微软签署的,但却归属于一家另外的公司。由于有关该公司的信息很少,这引起了人们的警惕。该软件向中文用户推销 “网吧安全解决方案”,据称是为了增强浏览体验。

然而,它却将用户重定向到与游戏相关的广告,并收集用户计算机的数据用于统计目的。

2024 年 3 月 18 日,ESET 按照漏洞披露协调流程向微软报告了这一漏洞。微软于 2024 年 5 月 1 日从 Windows 服务器目录中删除了违规驱动程序。此后,ESET将此威胁标记为Win{32|64}/HotPage.A和Win{32|64}/HotPage.B。

进一步调查发现,该公司利用微软的驱动程序代码签名要求,获得了扩展验证(EV)证书。

ESET表示,这说明基于信任的驱动程序签名系统正在被滥用。该公司注册于2022年初,背景不详,其域名dwadsafe.com现已下线。

HotPage 恶意软件的技术细节

从技术角度看,该恶意软件的安装过程包括在磁盘上投放驱动程序、解密配置文件并将库注入基于 Chromium 的浏览器。

该驱动程序通过挂钩基于网络的 Windows API 功能、更改 URL 或打开带有广告内容的新标签来操纵浏览器流量。

该恶意软件的一个关键问题是其内核组件,它无意中允许其他威胁在 Windows 操作系统的最高权限级别执行代码。

这是由于访问限制不足,使得任何进程都能与内核组件通信并利用其代码注入功能。

这种技术对网络安全行业的广泛影响值得注意。恶意软件使用经过签名的合法驱动程序,不仅为侵入性广告软件提供了便利,还使系统面临更多安全风险。

攻击者可以利用这一漏洞获得系统级权限或向进程中注入恶意代码,从而利用对已签名驱动程序的固有信任。

为防范此类威胁,安全研究人员建议定期更新软件,使用全面的安全解决方案,并保持严格的访问控制。

END

阅读推荐


【安全圈】Cisco 再曝超严重漏洞,黑客可修改管理员密码 


【安全圈】FIN7 黑客组织在暗网上大肆推广反EDR系统工具 


【安全圈】新加坡要求银行三个月内淘汰一次性密码           


【安全圈】科技巨头被曝未经授权用 YouTube 内容训练 AI,苹果、英伟达在列         

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握!

好看你就分享 有用就点个赞

**支持「**安全圈」就点个三连吧!

相关推荐
关注或联系我们
添加百川云公众号,移动管理云安全产品
咨询热线:
4000-327-707
百川公众号
百川公众号
百川云客服
百川云客服

Copyright ©2024 北京长亭科技有限公司
icon
京ICP备 2024055124号-2