仿冒Chocolatey与微软激活网站传播ArmorSteal恶意软件

由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English

首次报道 10月24日 09:10 UTC来源：GBHackers最近编辑更新 10月24日 09:10 UTC发表评论 ↓

攻击者通过仿冒Chocolatey和微软激活脚本项目的山寨网站传播ArmorSteal，这是一个基于Python的恶意软件家族。据GBHackers报道，该活动瞄准搜索安装命令的用户。

两个相似域名，同一行动

拼写仿冒域名choclatey[.]org模仿Chocolatey（巧克力包管理器），并显示一条恶意PowerShell安装命令。第二个域名massgravel[.]net则冒充微软激活脚本项目。

两个站点共用的常见恶意组件，以及完全相同的RSA-2048任务签名密钥，表明这两个分发渠道属于同一行动。两个安装程序都会请求提升权限、隐藏PowerShell控制台，并将一个压缩包释放到C:\Windows\SystemHealth\Update。

运行这个仿冒安装程序时，ArmorSteal被部署的同时，也会启动真正的Chocolatey安装程序。包管理器仍按预期正常工作，这使得明显的入侵迹象不易被察觉。

该安装包包含Python 3.11、Pyarmor运行时文件，以及受Pyarmor 9.1.7保护的恶意脚本。SysCheckX在系统启动后延迟45秒，以SYSTEM权限运行该脚本；SysCheck2则在用户登录时以可用的最高权限启动远程访问模块。

远程访问模块SysMon.py会对被感染的机器进行画像，并根据主板序列号生成机器标识符。它每60秒向命令与控制服务器轮询针对特定受害者和整个活动的Python任务。在将任务载入内存运行之前，它会验证RSA-2048签名，并将版本号与本地存储的数值进行比较，因此较旧或已处理过的指令不会被重复执行。

监控模块basrq.py会记录按键和窗口标题，每半秒检查一次剪贴板，并替换加密货币地址。当键入关键词时，它还会截取屏幕，并显示伪造的Exodus、MetaMask和Phantom交易通知。

ArmorSteal会通过ipinfo[.]io查询公网IP的归属信息。如果所选云服务提供商出现在组织字段中，它会显示一条伪造的内存错误并退出，这可能有助于其规避云端托管的分析环境。