卡巴Live更新提示后，黑客伪装成“更新项”的恶意病毒

当然，被黑的设备不是这个。 3月26日，卡巴斯基实验室报告称，华硕利用ASUS Live（华硕升级应用程序）遭受了供应链攻击。 黑客以程序更新的名义向用户计算机释放伪装成“更新项”的恶意病毒。 初步估计超过一百万用户将受到影响。

影锤行动

这种攻击也被称为（ ），其最早的攻击活动可以追溯到2018年6月至11月。

攻击的第一步是篡改 ASUS Live。 攻击者在更新程序中添加了隐蔽的后门，并用与原始文件非常相似的恶意程序替换了它。

具体攻击步骤如下：

1、无差别攻击阶段——黑客向所有华硕用户推送恶意升级包。 用户安装恶意升级包后，会启动黑客植入的恶意代码，等待进入第二阶段；

2. 有针对性的攻击阶段 - 攻击者手动将用户池定位在某个位置，并且仅识别数百个目标用户的网络配置器的 MAC 地址。 一旦目标用户被锁定，他们就会连接到黑客的服务器来激活更多的恶意代码；

（注：为了实现上述目标，攻击者在木马病毒样本中硬编码了一个MAC地址列表，以识别大部分实际目标。用户启动更新过程后，攻击将使用200个攻击样本来选择实际攻击目标的600多个MAC地址）。

攻击流程图如下：

根据分析，恶意包分为两种类型。 一类直接将完整的恶意PE文件隐藏在安装包内部资源中，分配内存后直接在内存加载调用中启动main函数； 另一种是直接将完整的恶意PE文件隐藏在安装包内部资源中。 资源中隐藏的是它被解密并加载到内存中执行。

据卡巴斯基统计，大部分受害者来自俄罗斯、德国和法国，分别占比约18%、16%和12%，而美国只有约5%的用户被感染。 可见，此次攻击仅针对少数特定目标，并不针对一般消费者。

华硕回应称：“目前只有笔记本()版本的Live会受到影响。”

超级“伪装者”

为什么这次攻击直到一年后才最近才被发现？ 显然，要对付华硕这样的厂商，攻击者离不开两把刷子。

事实上，暗影之锤攻击的执行方式是非常微妙的。

据信，黑客能够通过华硕庞大的供应链获得华硕自己的证书来签署恶意软件。 这些供应链厂商和开发商来自世界各地，由于直接针对行业内部人士或直接渗透到企业内部，因此此类攻击特别难以检测。

通过使用代码签名证书隐藏恶意组件，攻击者可以轻松规避各种审查机制。 据悉，这个后门的原理与微软类似，当时微软成功攻击了约230万客户，而且大部分目标都是科技巨头。

恶意更新程序托管在官方和华硕更新服务器上。 为了防止恶意病毒被识别，攻击者故意将恶意文件的大小修改为与正常版本的文件相同，并使用合法的认证证书。

不得不说，暗影锤攻击确实是一个超级“伪装者”。

遇难者并非一家人

除了华硕之外，卡巴斯基实验室的报告中还提到，其他几家公司也遭受了与上述情况几乎一致的攻击。 可以推断，此次攻击是同一APT组织所为。 目前卡巴斯基的激活码，卡巴斯基实验室在报告中并未提及其他厂商的名字，华硕也尚未确定此次攻击的具体原因。

幸运的是，华硕推出了 Live tool 3.6.8 版本来修复上述问题。 其原理是通过添加大量安全检查、更新或其他方法来拦截“恶意操纵”。 为了能够阻止进一步的攻击，华硕表示它“更新并增强了我们服务器到最终用户软件的架构”。

此外，华硕还表示，将提供可下载的“在线安全诊断工具”，供客户检查自己的电脑是否受到APT组织活动的影响。 还建议一旦发现问题立即恢复出厂设置并经常更改密码。

华硕在昨天的回应中表示，由于此次攻击的目的性很强，是一种针对供应链层面的攻击。 据统计，目前受该图片影响的用户仅有百余人，但这并不意味着攻击范围不会进一步蔓延，因此有必要提醒用户。

参考来源：国际安全智库； 代码卫士； 蓝点网 雷锋网 雷锋网