防范虚假PDFCandy网站传播恶意软件的教学文档

一、攻击概述

网络安全公司CloudSEK发现一起针对PDFCandy.com用户的复杂恶意软件攻击活动：

• 攻击目标：知名在线文件转换工具PDFCandy.com的用户（全球用户超250万，印度用户超50万）
• 恶意软件：ArechClient2信息窃取程序（属于SectopRAT家族，自2019年活跃至今）
• 传播途径：
  • 谷歌广告
  • 虚假软件更新

二、攻击手法分析

1. 网站仿冒技术

• 精心复制真实平台的用户界面
• 注册外观相似的域名（未具体说明但暗示存在域名欺骗）
• 显示伪造的加载动画模拟真实文件转换过程

2. 攻击流程

1. 用户访问虚假网站并上传PDF文件
2. 网站突然要求进行CAPTCHA验证（社会工程学攻击转向系统入侵的标志）
3. 诱导用户运行PowerShell命令
4. 命令通过重定向下载恶意文件"adobe.zip"（托管在恶意域名1728611543）
5. 压缩包内包含：
   • 名为"SoundBAND"的文件夹
   • 危险可执行文件"audiobitexe"
6. 利用合法Windows程序和工具发起多阶段攻击
7. 最终部署ArechClient2信息窃取程序

三、恶意软件危害

ArechClient2信息窃取程序能够：

• 窃取浏览器用户名和密码等隐私信息
• 属于SectopRAT家族，具有长期活跃历史（自2019年）

四、FBI警告

美国联邦调查局(FBI)在2025年3月17日已发出相关警告：

• 全球网络犯罪分子正在利用各类免费文档转换器或下载工具实施攻击

五、防范措施

1. 谨慎使用在线文件转换服务

   • 优先考虑知名、信誉良好的服务
   • 避免使用搜索结果中的广告链接

2. 上传文件前验证网站真实性

   • 检查网站评价和用户反馈
   • 确认网站是否有安全证书

3. 仔细检查网址

   • 注意域名拼写（是否存在字母替换或增减）
   • 查看网站SSL证书详情

4. 警惕意外出现的系统提示

   • 对突然出现的CAPTCHA验证保持警惕
   • 不轻易执行PowerShell或其他系统命令
   • 不下载不明来源的压缩文件

5. 其他建议

   • 保持操作系统和杀毒软件更新
   • 对可疑网站使用安全浏览工具检查
   • 重要文件转换考虑使用离线工具

六、技术识别要点

1. 恶意域名特征：

   • 数字域名（如1728611543）
   • 已被多家安全服务标记为恶意

2. 可疑文件特征：

   • 伪装成Adobe相关文件（adobe.zip）
   • 使用看似无害的名称（SoundBAND, audiobitexe）

3. 攻击行为特征：

   • 转换过程中突然要求额外操作
   • 诱导用户执行系统命令

七、应急响应

如已中招应采取以下措施：

1. 立即断开网络连接
2. 运行杀毒软件全面扫描
3. 更改所有重要账户密码（特别是浏览器保存的密码）
4. 检查系统是否有异常进程
5. 必要时重装操作系统
6. 向当地网络安全机构报告事件

八、参考资源

• CloudSEK研究报告
• Hackread.com相关分析
• FBI 2025年3月17日警告公告

本教学文档基于FreeBuf网络安全行业门户2025年4月15日的报道整理，重点提取了攻击手法、危害和防范措施等关键信息，供用户识别和防范此类恶意软件攻击使用。