關(guān)鍵詞

黑客

eScan 殺毒軟件開(kāi)發(fā)商微世界科技（MicroWorld Technologies）已正式證實(shí)，其旗下一臺(tái)更新服務(wù)器本月初遭黑客入侵，黑客利用該服務(wù)器向一小部分用戶(hù)推送了未經(jīng)授權(quán)的更新程序，后續(xù)分析證實(shí)該程序?yàn)閻阂馕募?/p>

2026 年 1 月 20 日，在長(zhǎng)達(dá)兩小時(shí)的時(shí)間窗口內(nèi)，從該區(qū)域更新服務(wù)器集群下載更新的用戶(hù)均收到了這一惡意文件。

eScan 方面表示，涉事的服務(wù)器基礎(chǔ)設(shè)施已完成隔離與重建，相關(guān)身份認(rèn)證憑證也已完成更換，同時(shí)已為受影響用戶(hù)提供了對(duì)應(yīng)的安全修復(fù)方案。

安全廠商Morphisec也單獨(dú)發(fā)布了一份技術(shù)報(bào)告，分析了在客戶(hù)終端監(jiān)測(cè)到的惡意活動(dòng)，該機(jī)構(gòu)確認(rèn)這些活動(dòng)與同一時(shí)間段內(nèi)從 eScan 更新服務(wù)器推送的更新程序直接相關(guān)。

Morphisec 稱(chēng)其于 2026 年 1 月 20 日檢測(cè)到相關(guān)惡意活動(dòng)，隨后聯(lián)系了 eScan。但微世界科技向科技媒體 BleepingComputer 表示，該公司對(duì) Morphisec 宣稱(chēng)自身為首個(gè)發(fā)現(xiàn)并上報(bào)該事件的說(shuō)法存在異議。

eScan 方面給出的說(shuō)法是，公司已于 1 月 20 日通過(guò)系統(tǒng)監(jiān)控和用戶(hù)反饋內(nèi)部發(fā)現(xiàn)了該問(wèn)題，并在數(shù)小時(shí)內(nèi)完成了涉事基礎(chǔ)設(shè)施的隔離，且于 1 月 21 日發(fā)布了安全預(yù)警公告。eScan 還指出，Morphisec 是在公開(kāi)發(fā)布該事件相關(guān)聲明后，才聯(lián)系了公司。

對(duì)于 “受影響用戶(hù)對(duì)該事件毫不知情” 的說(shuō)法，eScan 同樣予以否認(rèn)，稱(chēng)其在安全修復(fù)方案敲定期間，已主動(dòng)向受影響用戶(hù)發(fā)送通知并進(jìn)行了一對(duì)一溝通。

更新服務(wù)器遭非法入侵

eScan 在其安全預(yù)警公告中將該事件定性為更新基礎(chǔ)設(shè)施訪問(wèn)入侵事件，表示黑客通過(guò)非法訪問(wèn)某區(qū)域更新服務(wù)器的配置信息，在更新分發(fā)路徑中植入了未經(jīng)授權(quán)的文件。

微世界科技向 BleepingComputer 提供的公告中寫(xiě)道：“黑客非法訪問(wèn)了我們某臺(tái)區(qū)域更新服務(wù)器的配置，導(dǎo)致一個(gè)異常文件（補(bǔ)丁配置二進(jìn)制文件 / 惡意損壞更新包）被植入更新分發(fā)路徑?！?/p>

“2026 年 1 月 20 日的特定時(shí)間段內(nèi)，從該受影響服務(wù)器集群下載更新的用戶(hù)，均接收到了該文件?！?/p>

該公司強(qiáng)調(diào)，此次事件并非因 eScan 殺毒軟件自身存在漏洞所致。

eScan 還明確，僅有從該特定區(qū)域服務(wù)器集群完成軟件更新的用戶(hù)受到影響，其余所有用戶(hù)均未波及。

不過(guò) eScan 表示，安裝了該惡意更新程序的用戶(hù)，其設(shè)備可能出現(xiàn)以下異?，F(xiàn)象：

• 更新服務(wù)故障提示

• 系統(tǒng) hosts 文件被篡改，導(dǎo)致無(wú)法連接 eScan 更新服務(wù)器

• eScan 更新配置文件被修改

• 無(wú)法接收新的病毒庫(kù)安全定義更新

• 客戶(hù)端設(shè)備彈出更新服務(wù)不可用的提示窗口

BleepingComputer 已向 eScan 進(jìn)一步求證其服務(wù)器最初遭入侵的具體時(shí)間，若收到回復(fù)將第一時(shí)間更新相關(guān)報(bào)道。

惡意更新被用于投放惡意軟件

Morphisec 在其安全公告中指出，此次黑客推送的惡意更新程序，植入了經(jīng)篡改的 eScan 更新組件Reload.exe。

該公告中寫(xiě)道：“黑客通過(guò) eScan 合法的更新基礎(chǔ)設(shè)施分發(fā)惡意更新程序，導(dǎo)致全球范圍內(nèi)的企業(yè)和個(gè)人終端設(shè)備均被植入了多階段惡意軟件?！?/p>

盡管這一經(jīng)篡改的 Reload.exe 文件，表面上帶有看似屬于 eScan 的代碼簽名證書(shū)，但 Windows 系統(tǒng)和病毒檢測(cè)平臺(tái) VirusTotal 均判定該簽名無(wú)效。

Morphisec 表示，這款?lèi)阂?Reload.exe 文件（可在 VirusTotal 查詢(xún)）被黑客用于實(shí)現(xiàn)惡意程序持久化駐留、執(zhí)行惡意命令、篡改 Windows HOSTS 文件以阻止設(shè)備進(jìn)行遠(yuǎn)程更新，同時(shí)連接黑客的命令與控制（C2）服務(wù)器，下載更多惡意載荷。

研究人員公布了監(jiān)測(cè)到的以下黑客命令與控制服務(wù)器地址：

hxxps [://] vhs [.] delrosal [.] net/i

hxxps [://] tumama [.] hns [.] to

hxxps [://] blackice [.] sol-domain [.] org

hxxps[://]codegiant [.] io/dd/dd/dd [.] git/download/main/middleware [.] ts

504e1a42.host.njalla [.] net

185.241.208 [.] 115

研究人員發(fā)現(xiàn)，黑客最終向受感染設(shè)備投放的惡意載荷為一個(gè)名為CONSCTLX.exe的文件（可在 VirusTotal 查詢(xún)），Morphisec 確認(rèn)該文件是一款后門(mén)程序，同時(shí)具備持久化下載惡意文件的功能。該機(jī)構(gòu)還表示，這些惡意文件會(huì)創(chuàng)建計(jì)劃任務(wù)以實(shí)現(xiàn)持久化駐留，任務(wù)名稱(chēng)偽裝為CorelDefrag等正常名稱(chēng)。

目前 eScan 已推出一款修復(fù)性更新程序，用戶(hù)運(yùn)行后可自動(dòng)完成以下操作：

1. 自動(dòng)識(shí)別并修正被篡改的系統(tǒng)配置

2. 恢復(fù) eScan 更新服務(wù)的正常功能

3. 驗(yàn)證系統(tǒng)是否成功恢復(fù)

4. 操作完成后需重啟系統(tǒng)（常規(guī)重啟即可）

eScan 與 Morphisec 均建議用戶(hù)，為提升設(shè)備安全性，屏蔽上述所有黑客命令與控制服務(wù)器地址。

值得注意的是，2024 年曾有相關(guān)監(jiān)測(cè)顯示，朝鮮黑客組織曾利用 eScan 殺毒軟件的更新機(jī)制，在企業(yè)網(wǎng)絡(luò)中植入后門(mén)程序。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專(zhuān)注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！