Win11再現虛假升級網站，新的冒名頂替網站看起來像微軟官方網站，但實際上，分發的文件包含惡意軟件安裝程序，這是一種新穎的竊取信息惡意軟件，Win11再現虛假升級網站。
Win11再現虛假升級網站1
據Bleeping Computer網站消息，研究人員又發現黑客利用僞造的Windows 11系統升級來傳播惡意軟件的攻擊事件，目標是竊取用戶的瀏覽器數據甚至虛擬貨幣錢包。
Microsoft官方在提供Windows 11升級時會爲用戶提供升級工具，以檢查其設備是否具備升級條件。但黑客利用了部分用戶懶於確認自身設備的硬件信息，通過炮製一個看似官方的升級頁面，放置“立即下載”按鈕誘導用戶不加思索地上鉤。
僞造的WIndows 11升級網站
根據CloudSEK的威脅研究人員的分析，這是一種新型惡意軟件，因使用了 Inno Setup Windows 安裝程序，而被稱爲“Inno Stealer”。研究人員表示，Inno Stealer 與目前其他信息竊取程序代碼沒有任何相似之處，也沒有發現該惡意軟件被上傳到 Virus Total 平臺。
當受害者下載後，會獲得一個包含惡意軟件的ISO文件，Inno Stealer通過 ISO 中包含的“Windows 11 setup”可執行文件進行加載，使用 CreateProcess Windows API 生成一個新進程，並植入4個惡意腳本以刪除註冊表安全、繞過Defender防護、卸載相關安全軟件。
至於Inno Stealer的功能，則包括收集 Web 瀏覽器 cookie 和存儲的憑證、虛擬貨幣錢包中的數據以及文件系統中的數據。研究人員列出了可被針對的WEB瀏覽器35款，虛擬貨幣錢包39款。
此外，研究人員還發現了Inno Stealer 的一個有趣特性：網絡管理和數據竊取功能是多線程的，所有被盜數據通過 PowerShell 命令複製到用戶的臨時目錄並加密，然後發送受黑客控制的C2服務器.。
近來，通過僞造Windows 11升級來竊取信息的惡意軟件已多次出現，比較典型的是今年2月，RedLine 惡意軟件就曾通過虛假的'Windows 11升級網頁來傳播有效載荷，以竊取用戶的敏感數據。
Win11再現虛假升級網站2
據 Neowin 報道，自從 Windows 11 於 2021 年 6 月首次發佈以來，已經有許多活動旨在誘使人們下載虛假的惡意 Windows 11 安裝程序。雖然這種活動平息了一段時間，但似乎現在又捲土重來，這一次，情況可能更加致命。如今 Windows 11 已經普遍可用，使其成爲當今的危險場景。
CloudSEK 網絡安全公司發現了一個類似性質的新惡意軟件，新的冒名頂替網站看起來像微軟官方網站，但實際上，由於使用 Inno Setup Windows，分發的文件包含了“Inno Stealer”惡意軟件安裝程序。這是一種新穎的竊取信息惡意軟件，在 Virus Total 上沒有發現類似的樣本。
惡意網站的 URL 是“windows11-upgrade11 [.] com”，似乎 Inno Stealer 活動策劃者幾個月前從另一個類似惡意軟件活動中獲取了頁面，使用相同的技巧來欺騙潛在的受害者。
CloudSEK 表示，下載受感染的 ISO 後，會在後臺運行多個進程以感染用戶的系統。它創建 Windows 命令腳本以禁用註冊表安全性、添加排除 Defender 、卸載安全產品並刪除 shadow volumes。
最後，會創建一個 文件，該文件是實際傳遞惡意負載的文件，在這種情況下，受感染系統出現以下目錄中的新型 Inno Stealer 惡意軟件：
C:UsersAppDataRoamingWindows11InstallationAssistant
惡意軟件負載文件的名稱是“”。
以下是用圖表解釋的整個過程：
CloudSEK 已確定 Inno 信息竊取惡意軟件所追求的目標，包括瀏覽器和加密錢包。
Win11再現虛假升級網站3
自 Windows 11 系統 2021 年 6 月發佈以來，不斷有各種活動欺騙用戶下載惡意的 Windows 11 安裝程序。雖然這種情況在過去一段時間裏有所遏制，但現在又捲土重來，而且破壞力明顯升級。
網絡安全公司 CloudSEK 近日發現了一個新型惡意軟件活動，看起來非常像是微軟的官方網站。由於使用了 Inno Setup Windows 安裝程序，它分發的文件包含研究人員所說的“Inno Stealer”惡意軟件。
惡意網站的URL是“windows11-upgrade11[]”，看來 Inno Stealer 活動的威脅者從幾個月前的另一個類似的惡意軟件活動中吸取了經驗，該活動使用同樣的伎倆來欺騙潛在的受害者。
CloudSEK說，在下載受感染的ISO後，多個進程在後臺運行，以中和受感染用戶的系統。它創建了Windows命令腳本，以禁用註冊表安全，添加 Defender 例外，卸載安全產品，並刪除陰影卷。
最後，一個文件被創建，這是一個實際傳遞惡意有效載荷的文件，在這種情況下，新穎的 Inno Stealer 惡意軟件在被感染系統的以下目錄中。惡意軟件有效載荷文件的名稱是""。
