北京
釣魚郵件、偽裝的PDF、熟悉的編輯器……一場精心編排的攻擊正在利用開發者對Notepad++的信任悄悄展開。
烏克蘭計算機緊急響應小組（CERT-UA）日前披露，一個被標記為UAC-0099的威脅組織正通過惡意程序，把一款假的Notepad++插件塞進Windows系統。該組織與俄羅斯有關聯，至少從2022年中旬開始就活躍在攻擊一線，曾多次利用WinRAR漏洞投遞LONEPAGE木馬，也用釣魚郵件散布過MATCHBOIL、MATCHWOK和DRAGSTARE等載荷。這次，他們把攻擊鏈包裝得更像一次“正常的插件更新”，但從郵件到加載器的每一步都藏滿了陷阱。
整個入侵的起點是一封帶圖片附件的釣魚郵件。一旦有人點擊圖片，請求就會被引到一個短鏈接背后藏匿的URL，接著跳轉到EasySend[.]co這類文件共享服務下載一個ZIP壓縮包。壓縮包里裝的不是文檔，而是一個偽裝成PDF的VBScript腳本。雙擊這個假PDF，攻擊者同時做了兩件事：一邊扔出一個無關緊要的PDF文件轉移受害者注意，一邊在后臺靜悄悄拖回另一個叫“Evernote.zip”的壓縮包。這種聲東擊西的手法，讓最早的入侵痕跡很難被察覺。
真正的心臟是Evernote.zip里的東西。這個壓縮包內含多個組件，VBScript將它們拖出后做的第一件事就是啟動Notepad++，隨后加載一個名為“NppExport.dll”的惡意DLL——CERT-UA給它取名LUNCHPOKE。LUNCHPOKE負責解壓另一個RAR壓縮包，把“RemoteLibUpdater.exe”和“InitTest.dll”釋放到指定目錄，接著用計劃任務每3分鐘運行一次RemoteLibUpdater.exe，把持久的后門種進系統。只要這臺機器還通著電，攻擊者就能隨時接收它的心跳。
RemoteLibUpdater.exe本身也被賦予了一個代號BURNYBEAR，它本質是一個加載器，專門為InitTest.dll搭橋。而InitTest.dll正是MATCHBOIL的修改版，現在被叫做MATCHBOIL.V2，一款用C#編寫的加載器，能繼續拉取下一階段的惡意程序?？蛇@臺二進制工具有一個詭異的自毀機制——如果啟動時沒有傳入參數，BURNYBEAR不會安靜出錯，而是會立刻瘋狂消耗內存和處理器資源，把計算機拖到近乎死機。從繞過檢測到資源耗盡，設計者在同一個程序里藏了兩種截然不同的惡意邏輯。
面對這種把常用工具變成攻擊載體的手法，CERT-UA給出的防護建議直接且務實：把WinRAR、7-Zip和Notepad++都更新到最新版本，堵住已知漏洞的通道。因為攻擊者不光會在插件里做手腳，他們同樣擅長利用這些軟件本身的安全缺陷發起后續入侵。一次看似無害的編輯器插件調用，可能已經點燃了整條攻擊鏈。
同期，美國政府也公布了一起由俄羅斯關聯組織Laundry Bear（又名CL-STA-1114、TA488等）發起的大規模釣魚行動。該行動至少從2025年7月起利用一種“半點擊”漏洞（CVE-2025-66376）攻擊Zimbra郵件服務器，向西方政府與商業機構的郵箱植入名為ZimReaper的JavaScript，以收割郵件通信和其他敏感數據。與傳統的引誘式釣魚不同，這次攻擊借助一個視圖瀏覽動作就能觸發惡意的JavaScript執行，顯著降低了用戶察覺的可能。
把兩起事件放在一起看，一條貫穿的線索逐漸清晰：無論是偽裝成插件投遞的MATCHBOIL.V2，還是輕點即中招的ZimReaper，攻擊者越來越善于藏在用戶習以為常的操作背后，把信任本身變成了可利用的漏洞。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
