俄罗斯黑客针对乌克兰用户的恶意攻击

关键要点

• 俄罗斯国家支持的威胁组织Sandworm自2023年晚期以来针对乌克兰Windows用户发起恶意攻击。
• 攻击涉及伪造的Microsoft Key Management Service激活器和假Windows更新。
• 最近的攻击中，使用了包含BACKORDER恶意程序加载器的伪KMS激活工具。
• 该恶意软件允许窃取设备的保存凭证、浏览器cookies、历史记录、按键记录等敏感信息，威胁到乌克兰的国家安全和关键基础设施。

根据的报道，自2023年晚期以来，俄罗斯国家支持的威胁组织针对乌克兰的Windows用户展开了一系列恶意攻击。这些攻击利用了恶意的Microsoft Key ManagementService（KMS）激活器和伪造的Windows更新。

Sandworm（又名APT44、SeashellBlizzard和UAC-0113）发起了多次恶意软件入侵，最近的攻击涉及分发伪造的KMS激活工具。根据EclecticIQ的分析，该工具中包含BACKORDER恶意程序加载器，能够在WindowsDefender被禁用后进行DarkCrystalRAT的交付。DcRAT可以窃取目标设备上的保存凭证、浏览器cookies和历史记录、按键记录、FTP凭证以及系统详细信息。

EclecticIQ表示：“许多用户，包括企业和关键实体，已转向不可信来源的盗版软件，这为像Sandworm（APT44）这样的对手提供了嵌入恶意软件的良机。这一战术使得大规模的间谍活动、数据窃取和网络妥协成为可能，直接威胁到乌克兰的国家安全、关键基础设施和私营部门的韧性。”

此类攻击的普遍性使得用户与企业面临的风险显著增加，尤其是在不合法的软件分发平台日益流行的背景下。为了维护信息安全，建议用户避免使用不明来源的软件，并加强网络防护措施，以抵御此类恶意攻击。