1 月 5 日消息，黑客濫用微軟 Win10? / ?Win11? 系統(tǒng)中內(nèi)置的錯誤報(bào)告工具 Windows Problem Reporting（WerFault.exe），通過 DLL 旁加載技術(shù)在受感染設(shè)備的內(nèi)存上運(yùn)行惡意軟件。

黑客首先通過合法的 Windows 可執(zhí)行文件來啟動惡意軟件，整個過程并不會觸發(fā)任何警告，從而隱蔽的感染設(shè)備。K7 Security Labs 安全公司率先發(fā)現(xiàn)了這種攻擊方式。

惡意軟件活動始于一封帶有 ISO 附件的電子郵件。用戶雙擊這個 ISO 文件之后，將自身掛載為一個新的驅(qū)動器盤符，其中包含 Windows WerFault.exe 可執(zhí)行文件的合法副本、一個 DLL 文件（“faultrep.dll”）、一個 XLS 文件（“File.xls”）和一個快捷方式文件（'inventory & our specialties.lnk'）。

受害者通過單擊快捷方式文件啟動感染鏈，該快捷方式文件使用“scriptrunner.exe”來執(zhí)行 WerFault.exe。WerFault 是 Windows 10 和 11 中使用的標(biāo)準(zhǔn) Windows 錯誤報(bào)告工具，允許系統(tǒng)跟蹤和報(bào)告與操作系統(tǒng)或應(yīng)用程序相關(guān)的錯誤。

防病毒工具通常信任 WerFault，因?yàn)樗怯?Microsoft 簽名的合法 Windows 可執(zhí)行文件，因此在系統(tǒng)上啟動它通常不會觸發(fā)警報(bào)來警告受害者。

啟動 WerFault.exe 之后，該惡意軟件將使用已知的 DLL 側(cè)載缺陷來加載 ISO 中包含的惡意“faultrep.dll”DLL。

通常，'faultrep.dll' 文件是 Microsoft 在 C:\Windows\System 文件夾中為 WerFault 正確運(yùn)行所需的合法 DLL。但是，ISO 中的惡意 DLL 版本包含用于啟動惡意軟件的附加代碼。