IT之家 1 月 5 日消息，黑客濫用微軟 Win10 / Win11 系統(tǒng)中內(nèi)置的錯(cuò)誤報(bào)告工具 Windows Problem Reporting（WerFault.exe），通過 DLL 旁加載技術(shù)在受感染設(shè)備的內(nèi)存上運(yùn)行惡意軟件。
黑客首先通過合法的 Windows 可執(zhí)行文件來啟動(dòng)惡意軟件，整個(gè)過程并不會(huì)觸發(fā)任何警告，從而隱蔽的感染設(shè)備。K7 Security Labs 安全公司率先發(fā)現(xiàn)了這種攻擊方式。
惡意軟件活動(dòng)始于一封帶有 ISO 附件的電子郵件。用戶雙擊這個(gè) ISO 文件之后，將自身掛載為一個(gè)新的驅(qū)動(dòng)器盤符，其中包含 Windows WerFault.exe 可執(zhí)行文件的合法副本、一個(gè) DLL 文件（“faultrep.dll”）、一個(gè) XLS 文件（“File.xls”）和一個(gè)快捷方式文件（'inventory & our specialties.lnk'）。
IT之家了解到，受害者通過單擊快捷方式文件啟動(dòng)感染鏈，該快捷方式文件使用“scriptrunner.exe”來執(zhí)行 WerFault.exe。WerFault 是 Windows 10 和 11 中使用的標(biāo)準(zhǔn) Windows 錯(cuò)誤報(bào)告工具，允許系統(tǒng)跟蹤和報(bào)告與操作系統(tǒng)或應(yīng)用程序相關(guān)的錯(cuò)誤。
防病毒工具通常信任 WerFault，因?yàn)樗怯?Microsoft 簽名的合法 Windows 可執(zhí)行文件，因此在系統(tǒng)上啟動(dòng)它通常不會(huì)觸發(fā)警報(bào)來警告受害者。
啟動(dòng) WerFault.exe 之后，該惡意軟件將使用已知的 DLL 側(cè)載缺陷來加載 ISO 中包含的惡意“faultrep.dll”DLL。
通常，'faultrep.dll' 文件是 Microsoft 在 C:\Windows\System32 文件夾中為 WerFault 正確運(yùn)行所需的合法 DLL。但是，ISO 中的惡意 DLL 版本包含用于啟動(dòng)惡意軟件的附加代碼。
廣告聲明：文內(nèi)含有的對(duì)外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時(shí)間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。