10 月 23 日，国家网络安全威胁和漏洞信息共享平台发布最新动态。近日，工业和信息化部网络安全威胁和漏洞信息共享平台监测到一次大规模攻击行动，黑客利用操纵搜索引擎优化来传播恶意软件，导致用户信息泄露与系统遭到控制。

据了解，这次攻击始于搜索引擎欺诈诱导。攻击者通过伪造高仿钓鱼页面，诱骗用户点击并触发重定向，随后由恶意 JavaScript 脚本 nice.js 窃取设备参数并发送至攻击服务器。动态加载阶段随即启动，服务器通过两层 JSON 响应下发捆绑了正版软件和恶意组件的 MSI 安装包。该安装包在提权后释放 55 个碎片文件至 C:\ProgramData\Data_Xowlls 目录，进而激活恶意代码。

进入反分析规避阶段后，恶意软件会验证进程身份，若非 msiexec.exe 则立即退出。它还会检测系统时钟连续两次请求百度的时间间隔，若小于 4 秒则终止运行，同时检查 ACPI 表和桌面文件数量以识别虚拟机环境。通过检测后，该恶意软件将 55 个碎片重组为恶意数据文件 emoji.dat，并释放干扰文件 vstdlib.dll。

持久化植入阶段则根据防护状态选择潜伏机制。若存在安全软件，恶意软件将劫持文件管理器进程；否则会篡改启动项，伪装成“Google 更新”启动。最终在执行加密攻击时，恶意软件创建动态 AES 密钥加密的凭证文件 venwin.lock，加密连接 C2 服务器，并启动包括键盘记录、屏幕捕获和窃取加密私钥在内的全方位监控。

工业和信息化部网络与信息安全威胁和漏洞信息共享平台建议相关单位及用户立即组织排查，定期离线备份核心数据，严格核验软件域名真实性，杜绝来源不明程序运行，及时修复系统漏洞并阻断恶意提权，加强员工反钓鱼培训，识别 SEO 欺诈及伪装启动项，同步部署终端行为监控，全面封堵网络攻击风险。

附相关 IOC 信息如下：

a32d14f28c44ec6f9b4ad961b2eb4f778077613bdf206327a2afa92a7307d31a

ea59f20b418c9aa4551ac35f8398810e58735041d1625e77d13e369a701e273c

b15b642930f8903f7e8c4d8955347575afd2f2abee2ee2d612ba381442026bfd

2a1ae074a0406de514b3ab03c1747fd43813d8bad9c164f390103a0480f9a6aa

c3afd8224cea7a743a3dea8437ff7ed6f89a62cd8f6787c4f27593faec9fc4cb

66787d80ec42a289030bb080fa1ad596e60bd0db92dc6e1e9d66921ea23ccd0e

deepl-fanyi[.]com

aisizhushou[.]com

telegramni[.]com

wps1[.]com

wws[.]c4p11[.]shop

bucket00716[.]s3[.]ap-southeast-2[.]amazonaws[.]com

znrce3z[.]oss-ap-southeast-1[.]aliyuncs[.]com

xiazai1[.]aisizhushou[.]io

xiazai2[.]aisizhushou[.]io

137[.]220[.]152[.]99

43[.]248[.]172[.]13

202[.]95[.]8[.]47

27[.]124[.]13[.]32