潜伏到社区网站帖子的域欺骗恶意软件

最近在韩国出现了利用社区网站帖子传播域欺骗恶意软件的事例。该帖子的内容是当前社会关注的主题，此次攻击即是社会工程学攻击方式，很有可能很多人由此而受到损失。

域欺骗（Pharming）是通过感染用户计算机诱导连接到钓鱼网站，攫取金融信息、个人信息等的一种网络攻击。当用户的计算机在被域欺骗恶意软件感染的状态下访问银行网站，则被引诱到伪装成金融监督委员会或银行网站的假网站，一旦用户输入身份证号、帐号和信用卡号等信息，则被黑客攫取并利用在非法转账等非法行为。

此次发现的域欺骗恶意软件通过多数社区网站传播，共同特点是利用了最新社会关注主题的帖子。攻击者利用 社会关注主题的帖子在社区网站引起社区成员的关心后，诱导他们点击文本中的来源链接。该链接页面是与该帖子相关的新闻报道，同时该页面已嵌入了恶意软件。

在用户阅读新闻报道的时候，带有恶意软件的网站已通过“偷渡式下载（Drive-by-download）”方式下载恶意软件到本地系统，而用户毫不知情。偷渡式下载方式是一种网络攻击手段，利用系统没有安装最新安全补丁（包括操作系统和主要应用软件）而存在的安全漏洞， 诱导用户访问假冒网站并感染恶意软件。

该恶意软件入侵用户计算机后，更改计算机启动程序和Windows防火墙例外策略，并试图连接外部特定的C&C服务器。另外，将IE浏览器的起始页修改成门户网站，同时还修改自动配置脚本。之后，当用户打开IE浏览器时，则显示假冒金融监督院和银行等用户比较熟悉的网站界面，用户则丝毫没有怀疑地输入个人敏感信息。

V3产品群可以检出该域欺骗恶意软件。

<V3产品群诊断名>

Trojan/Win32.Banbra (2016.11.10.04)

 这种虎视眈眈地盯着用户金融信息的域欺骗攻击不仅还在持续出现，而且还进化成联系在线和离线等多样的形式。尤其为了预防像这次的域欺骗攻击事例，需要及时应用安全补丁来防止偷渡式下载攻击，最好不要随意连接来源不明确的网站，还要及时更新防病毒软件的引擎为最新版本。这些都需要用户平时养成良好的习惯。