近期，利用 Microsoft Defender SmartScreen 中的安全漏洞 CVE-2024-21412 的信息窃取活动有所增加，攻击者利用该漏洞绕过安全防护，部署 ACR Stealer、Lumma 和 Meduza 等信息窃取程序。攻击者通过精心制作的链接引导受害者下载包含恶意脚本的 LNK 文件，最终导致部署信息窃取程序。

🎯 **利用漏洞绕过安全防护：** 攻击者利用 Microsoft Defender SmartScreen 中的漏洞 CVE-2024-21412，绕过安全防护，部署恶意软件。该漏洞已于 2024 年 2 月通过 Microsoft 月度安全更新修复，但仍有部分用户未更新系统，导致其设备容易受到攻击。

🎯 **多阶段攻击流程：** 攻击者采用多阶段攻击流程，首先诱骗受害者点击恶意链接，下载包含恶意脚本的 LNK 文件。然后，LNK 文件会下载包含 HTA 脚本的可执行文件，HTA 文件用作解码和解密 PowerShell 代码的管道，最终部署信息窃取程序。

🎯 **信息窃取程序的演变：** 近期出现了一些新的信息窃取程序，例如 ACR Stealer、Lumma 和 Daolpu。ACR Stealer 是 GrMsk Stealer 的进化版本，能够从各种应用程序中窃取信息，包括网络浏览器、加密钱包和密码管理器。Lumma Stealer 利用相同技术，使攻击者能够更轻松地更改 C2 域，提高基础设施的弹性。Daolpu 则通过伪装成 Microsoft 恢复手册的 Word 文档，利用宏从远程服务器下载恶意软件，窃取浏览器凭据和 Cookie。

🎯 **恶意广告技术的利用：** 攻击者还利用恶意广告技术，将合法软件（如 Microsoft Teams）推广为恶意软件，部署 Atomic Stealer 等信息窃取程序。这种攻击方式更加隐蔽，更容易迷惑用户。

🎯 **用户安全意识的重要性：** 随着网络犯罪分子不断升级攻击手段，用户必须提高安全意识，谨慎点击链接，及时更新系统，避免下载来源不明的软件，才能有效保护个人信息安全。

Microsoft Defender SmartScreen 中现已修补的安全漏洞已被利用，作为旨在提供 ACR Stealer、Lumma 和 Meduza 等信息窃取程序的新活动的一部分。Fortinet FortiGuard Labs 表示，它检测到针对西班牙、泰国和美国的窃取活动，该活动使用利用 CVE-2024-21412 的诱杀文件（CVSS 评分：8.1）。高严重性漏洞使得攻击者能够绕过 SmartScreen 保护并丢弃恶意负载。Microsoft 在 2024 年 2 月发布的月度安全更新中解决了这个问题。“最初，攻击者引诱受害者点击一个精心制作的链接，指向一个旨在下载LNK文件的URL文件，”安全研究员Cara Lin说。“然后，LNK 文件会下载一个包含 [HTML 应用程序] 脚本的可执行文件。”HTA 文件用作解码和解密 PowerShell 代码的管道，该代码负责获取诱饵 PDF 文件和 shellcode 注入器，这反过来又导致部署 Meduza Stealer 或 Hijack Loader，随后启动 ACR Stealer 或 Lumma。ACR Stealer 被评估为 GrMsk Stealer 的进化版本，于 2024 年 3 月下旬由一个名为 SheldIO 的威胁行为者在俄语地下论坛 RAMP 上做广告。“这个ACR窃取者在Steam社区网站上用死掉解析器（DDR）技术隐藏了它的[命令和控制]，”Lin说，并称它能够从网络浏览器、加密钱包、消息传递应用程序、FTP客户端、电子邮件客户端、VPN服务和密码管理器中窃取信息。值得注意的是，根据 AhnLab 安全情报中心 （ASEC） 的说法，最近还观察到了使用相同技术的 Lumma Stealer 攻击，使对手更容易随时更改 C2 域并使基础设施更具弹性。CrowdStrike透露，威胁行为者正在利用上周的中断来分发一个名为Daolpu的以前未记录的信息窃取程序，使其成为导致数百万Windows设备瘫痪的错误更新导致的持续影响的最新例子。该攻击涉及使用带有宏的 Microsoft Word 文档，该文档伪装成 Microsoft 恢复手册，列出了 Windows 制造商为解决问题而发布的合法指令，并利用它作为诱饵来激活感染过程。DOCM文件在打开时，运行宏以从远程中检索第二阶段DLL文件，该远程器被解码以启动Daolpu，这是一种窃取恶意软件，可从Google Chrome，Microsoft Edge，Mozilla Firefox和其他基于Chromium的浏览器中收集凭据和cookie。它还遵循Braodo和DeerStealer等新的窃取恶意软件系列的出现，即使网络犯罪分子正在利用恶意广告技术推广合法软件（如Microsoft Teams）来部署Atomic Stealer。“随着网络犯罪分子加大他们的分发活动，通过搜索引擎下载应用程序变得更加危险，”Malwarebytes研究员JérômeSegura说。“用户必须在恶意广告（赞助结果）和SEO中毒（受感染的网站）之间导航。”