北京
設(shè)想一下，你正瀏覽一個?？吹木W(wǎng)站，突然彈出熟悉的“我是人類”驗證框。你熟練地按下提示的快捷鍵，以為完成了安全校驗，卻不知道已經(jīng)悄悄在電腦上執(zhí)行了一條惡意PowerShell命令。一種叫作ErrTraffic的惡意軟件即服務(wù)工具，正在用這種幾乎難以察覺的方式，讓受害者親手為攻擊者敞開大門。
ErrTraffic從2025年底出現(xiàn)后，迅速成長為成熟的網(wǎng)絡(luò)犯罪服務(wù)平臺。它并非直接攻擊用戶，而是將惡意JavaScript代碼注入到已被攻破的WordPress網(wǎng)站中。當訪問者打開網(wǎng)頁，屏幕上就會彈出一個偽造的驗證界面，外觀幾乎和Google reCAPTCHA或Cloudflare Turnstile一模一樣。受害者被引導(dǎo)按下某個鍵盤快捷鍵，而此時，背景腳本早已將一條PowerShell命令靜悄悄復(fù)制到了剪貼板，按下快捷鍵便執(zhí)行了這條命令。
安全分析機構(gòu)Sekoia的報告指出，ErrTraffic的核心是社會工程學(xué)手法ClickFix，并結(jié)合一種名為EtherHiding的技術(shù)，將命令與控制基礎(chǔ)設(shè)施隱藏在Polygon區(qū)塊鏈的智能合約里。這種設(shè)計讓攻擊者無需重新部署代碼，就能每天更換服務(wù)器地址，大大增加了安全工具的檢測和攔截難度。一個化名LenAI的威脅行為者通過犯罪論壇Exploit.IN和Telegram對外出售該工具。進入2026年后價格持續(xù)走高，月度訂閱費從300美元漲至380美元，源代碼售價也從1月份的1500美元飆升至4500美元（含終身更新）。不菲的定價恰好反映了該框架在非法社區(qū)中日益增長的“口碑”和實際效果。
研究人員已識別出兩個獨立的ErrTraffic集群，分別命名為“Analytics”和“Beer”。它們各自運營著不同的基礎(chǔ)設(shè)施，傳播的惡意軟件家族包括Vidar、Stealc、Remus、Salat、SmokeLoader以及多種遠程訪問木馬。部分WordPress網(wǎng)站甚至同時被兩個集群感染，這顯示出不同攻擊者既有競爭關(guān)系，又在操作層面存在重疊，進一步放大了該框架的威脅覆蓋面。
感染鏈條從訪問受感染頁面那一刻就開始了。一段經(jīng)Base64和XOR編碼的隱秘JavaScript載荷，會查詢Polygon區(qū)塊鏈獲取當天的活躍C2服務(wù)器地址。得益于這種輪換機制，攻擊者無需再去觸碰數(shù)千個已被注入惡意代碼的網(wǎng)站，后臺服務(wù)器就可以每日更換。解析出C2地址后，腳本會根據(jù)所屬集群，通過/cf.js或/api/css.js等API端點加載ClickFix誘餌。接下來，一個以假亂真的驗證畫面被呈現(xiàn)出來，讓受害者一步步按照提示完成“驗證”，并最終親手執(zhí)行那條預(yù)先準備好的惡意命令。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
