CNCERT | 关于“黑猫”团伙利用搜索引擎传播仿冒Notepad++下载远控后门的风险提示

主要观点总结

本文介绍了国家互联网应急中心（CNCERT）与北京微步在线科技有限公司（微步在线）共同发布的关于“黑猫”黑产团伙利用搜索引擎SEO技术进行黑产攻击活动的研究报告。报告详细描述了“黑猫”团伙的攻击手段、案例分析、关联分析、感染规模及防范建议。文章还提供了相关的IOC信息。

关键观点总结

关键观点1: “黑猫”黑产团伙的攻击手段

团伙利用搜索引擎SEO技术，通过构造仿冒钓鱼网站，诱导用户下载恶意软件，进而在用户不知情的情况下植入后门木马，窃取主机敏感数据。

关键观点2: 案例分析

报告详细分析了“黑猫”团伙的钓鱼网站构造和攻击流程，包括用户搜索关键词、访问钓鱼网站、下载含有后门程序的软件安装包、安装后门文件等步骤。

关键观点3: 关联分析

通过对窃密样本中的C2域名进行关联分析，发现“黑猫”团伙在C2资产上的增量更新，且该团伙的窃密对象明显向普通网民扩散，风险覆盖面进一步扩大。

关键观点4: 感染规模

通过监测分析发现，“黑猫”黑灰产团伙通过木马投放导致的主机被控数量约27.78万台，境内日上线肉鸡数量最高达62167台。

关键观点5: 防范建议

报告建议广大网民强化风险意识，加强安全防范，包括通过官方网站统一采购、下载正版软件，尽量不打开来历不明的网页链接，安装终端防护软件等。