一個(gè)身份不明的攻擊者正在借助正規(guī)新聞網(wǎng)站上的付費(fèi)或推廣帖子為盜版軟件制造聲量，Check Point Research的最新調(diào)查揭示了這一手法。攻擊者將一套專門的WordPress釣魚頁面作為操作中樞，同時(shí)利用虛假賬戶運(yùn)營的GitHub與SourceForge項(xiàng)目、YouTube頻道，以及一批在VirusTotal上協(xié)同行動的賬號，故意將惡意文件標(biāo)記為安全。

Check Point在分享給The Hacker News的報(bào)告里這樣比喻：“為了推廣一個(gè)惡意‘工具’，這個(gè)攻擊者借用了正規(guī)品牌制造聲量的全套流程：虛高的下載量、協(xié)同炮制的五星好評、網(wǎng)紅風(fēng)格的教程視頻，以及投放在人們本能信任的平臺。結(jié)果就是營造出一個(gè)橫跨各平臺的虛假聲譽(yù)生態(tài)，每當(dāng)潛在受害者在點(diǎn)擊‘下載’前想摸底時(shí)，都會撞上這一整套精心布置的信譽(yù)假象?！?/p>

該活動的終極目標(biāo)是散布一種加密貨幣剪貼板劫持器，這種惡意軟件被藏在宣稱是Solana和Pump.fun狙擊機(jī)器人以及崩潰游戲預(yù)測器的工具內(nèi)部。據(jù)此推斷，加密貨幣持有者以及想找捷徑、追求快速獲利的在線賭徒就是攻擊者盯上的目標(biāo)群體。這個(gè)基于Rust語言的劫持器同時(shí)覆蓋Windows和macOS系統(tǒng)，會不間斷監(jiān)控剪貼板中是否符合加密貨幣錢包地址的格式。一旦匹配，惡意軟件就用攻擊者預(yù)制的硬編碼地址列表中的錢包地址來替換，實(shí)質(zhì)上把數(shù)字資產(chǎn)轉(zhuǎn)移到攻擊者控制的地址。

這次行動中最引人關(guān)注的一點(diǎn)，是利用“幽靈網(wǎng)絡(luò)”來污染VirusTotal這類依賴聲譽(yù)的評判系統(tǒng)。攻擊者通過大量點(diǎn)贊和極度正面的評論，試圖降低可疑度，增加受害者對惡意文件的信任。同樣的行為還延伸到了GitHub，攻擊者至少操控著六個(gè)GitHub賬戶來交叉推廣并分發(fā)這些惡意軟件。這些人工抬高的信號旨在讓用戶產(chǎn)生錯(cuò)誤的信任感和安全感。其中一個(gè)倉庫甚至掛著146顆星和62次分叉。

SourceForge上的數(shù)據(jù)同樣透著異常。Check Point指出：“在SourceForge，下載計(jì)數(shù)器顯示為44,485次，其中可疑的37,460次竟表明來自安卓設(shè)備，但開發(fā)者明明只提供了Windows和macOS版本。一個(gè)合理的解釋是，攻擊者使用了安卓設(shè)備農(nóng)場來人為推高SourceForge上的下載數(shù)字。”此外，這些軟件還通過一個(gè)訂閱者超過9.1萬的YouTube頻道進(jìn)行推廣。該頻道創(chuàng)建于2020年7月，運(yùn)營者聲稱內(nèi)容“嚴(yán)格僅供教育目的”。那些教程風(fēng)格的視頻專門用了AI生成的旁白和正面評論，來進(jìn)一步營造受歡迎和值得信賴的假象。

或許這次活動最不尋常的一面，是攻擊者還借助了EIN Presswire這類新聞稿分發(fā)服務(wù)來營銷相關(guān)軟件，企圖讓這些惡意項(xiàng)目看起來更像是正經(jīng)產(chǎn)品。從商業(yè)視角來看，攻擊者不再滿足于簡單的釣魚或者勒索，而是把整套營銷組合拳復(fù)制過來：內(nèi)容種草、好評刷量、平臺信譽(yù)背書，甚至連新聞通稿都用上了。這種精細(xì)的運(yùn)營思路映射出一個(gè)尷尬的現(xiàn)實(shí)——在追求速度與即時(shí)報(bào)償?shù)募用茇泿藕途€上博彩圈子里，即便一個(gè)項(xiàng)目破綻百出，只要信譽(yù)數(shù)據(jù)做得夠逼真，仍會有用戶主動走入陷阱。然而，冷靜拆開每一層包裝后，安卓設(shè)備大量下載無法運(yùn)行的軟件、倉庫貢獻(xiàn)者清一色新賬號、AI腔調(diào)過重的旁白，這些本就是不該忽視的紅色信號。