近期，網(wǎng)絡安全領域迎來了一起令人矚目的安全事件。網(wǎng)絡安全解決方案提供商WithSecure發(fā)布了一份詳細報告，揭示了網(wǎng)絡黑客在過去至少八個月中，通過篡改廣受歡迎的開源密碼管理器KeePass，實施了一系列復雜的攻擊。

事件的起因是WithSecure在調(diào)查一起勒索軟件攻擊案件時，意外發(fā)現(xiàn)了這一精心策劃的惡意活動。黑客們利用Bing廣告作為誘餌，投放了指向惡意KeePass安裝程序的廣告，這些廣告將用戶引導至偽裝成官方下載頁面的網(wǎng)站，從而誘使用戶下載并安裝了被篡改的KeePass軟件。

KeePass作為一款開源軟件，其源代碼的易獲取性成為了黑客們的目標。他們修改了源代碼，創(chuàng)造了一個名為KeeLoader的木馬版本。這個版本表面上看似與普通KeePass無異，能夠正常執(zhí)行密碼管理功能，但實際上卻暗藏殺機。一旦用戶安裝并運行，KeeLoader便會悄無聲息地安裝Cobalt Strike信標，并導出KeePass密碼數(shù)據(jù)庫中的信息，以明文形式展示，隨后通過Cobalt Strike信標竊取用戶的敏感數(shù)據(jù)。

經(jīng)過深入分析，WithSecure的研究人員發(fā)現(xiàn)，此次攻擊中使用的Cobalt Strike水印與臭名昭著的Black Basta勒索軟件相關聯(lián)，指向了同一個初始訪問代理（IAB）。他們還發(fā)現(xiàn)了多個KeeLoader的變種，這些變種不僅使用了合法的證書進行簽名，以增加其欺騙性，還通過一系列拼寫錯誤的域名（如keeppaswrdcom、keegasscom）進行傳播，進一步迷惑用戶。

更令人擔憂的是，部分偽裝成KeePass官方網(wǎng)站的惡意站點仍在活躍，繼續(xù)分發(fā)被篡改的KeePass安裝程序，對用戶的網(wǎng)絡安全構成嚴重威脅。據(jù)BleepingComputer的報道，這些站點仍在利用用戶的疏忽，將惡意軟件傳播給更多無辜的受害者。

KeeLoader的功能不僅限于植入Cobalt Strike信標，它還具備直接的密碼竊取能力。黑客們通過KeeLoader捕獲用戶輸入的憑據(jù)，并將數(shù)據(jù)庫中的數(shù)據(jù)以CSV格式導出，存儲在本地目錄下。這一行為不僅侵犯了用戶的隱私，還導致了一些受害公司的VMware ESXi服務器被勒索軟件加密，遭受了嚴重的經(jīng)濟損失。

在進一步的調(diào)查中，WithSecure的研究人員發(fā)現(xiàn)，黑客們構建了一個龐大的基礎設施，用于分發(fā)偽裝成合法工具的惡意程序，并通過釣魚頁面竊取用戶的憑據(jù)。例如，他們利用aenyscom域名托管了多個子域名，這些子域名偽裝成WinSCP、PumpFun等知名服務，用于分發(fā)不同種類的惡意軟件或竊取用戶的登錄憑據(jù)。