本周，CPUID官方網(wǎng)站遭受攻擊者入侵，其后端組件被劫持，導(dǎo)致正常的下載鏈接在短時間內(nèi)被替換為惡意文件，訪問該網(wǎng)站的用戶因此面臨安全風(fēng)險。

此次事件波及HWMonitor和CPU-Z等常用工具。Reddit等平臺上的用戶率先察覺到異常，他們發(fā)現(xiàn)下載的安裝包觸發(fā)了殺毒軟件警報，或文件名出現(xiàn)異常。其中一個典型案例是：HWMonitor 1.63版本的更新鏈接指向了一個名為"HWiNFO_Monitor_Setup.exe"的文件，這顯然與該軟件本身毫無關(guān)聯(lián)，強烈暗示上游環(huán)節(jié)已遭到篡改。

對此，CPUID已正式確認發(fā)生了安全漏洞，并將其歸因于后端某一輔助組件被攻破，而非軟件構(gòu)建文件本身遭到篡改。

該網(wǎng)站的一位所有者在X平臺發(fā)帖說明稱："調(diào)查仍在持續(xù)推進，但目前來看，一個輔助功能模塊（本質(zhì)上是一個次級API）在4月9日至10日之間約六小時內(nèi)遭到入侵，導(dǎo)致主網(wǎng)站隨機展示惡意下載鏈接。我們經(jīng)過數(shù)字簽名的原始文件并未受到影響。此次漏洞已被發(fā)現(xiàn)并修復(fù)。"

經(jīng)核查，軟件本身的構(gòu)建文件未受影響，數(shù)字簽名完整，因此攻擊者并未滲透到軟件的編譯流程。問題出在下載鏈接的分發(fā)環(huán)節(jié)。然而，對于那些在事發(fā)期間訪問過該網(wǎng)站的用戶而言，這一區(qū)別并無太大意義——若你點擊的鏈接已被調(diào)包，你實際下載的便是攻擊者預(yù)設(shè)的文件，全程可能毫無察覺。

安全研究機構(gòu)vx-underground公布的分析結(jié)果顯示，該惡意安裝包主要針對64位HWMonitor用戶，內(nèi)含一個偽造的CRYPTBASE.dll文件，以模擬合法的Windows系統(tǒng)組件來混淆視聽。該DLL文件隨后會連接至遠程命令與控制服務(wù)器，下載額外的惡意載荷。

攻擊鏈并不止于此。分析顯示，該惡意軟件盡量避免將文件寫入磁盤，主要依托PowerShell在內(nèi)存中運行。它還會下載額外代碼，并在受害者設(shè)備上即時編譯.NET載荷，隨后注入其他進程。此外，還有跡象表明該惡意軟件會竊取瀏覽器數(shù)據(jù)——在測試過程中，研究人員觀察到它與Google Chrome的IElevation COM接口進行交互，該接口可被用于訪問并解密瀏覽器中存儲的賬戶憑據(jù)。

分析還發(fā)現(xiàn)，此次攻擊所使用的基礎(chǔ)設(shè)施與此前針對FileZilla用戶的攻擊活動存在關(guān)聯(lián)，這表明本次事件并非孤立的偶發(fā)行為，而是某一系列有組織攻擊行動的組成部分。

目前，CPUID表示漏洞已修復(fù)，但關(guān)于該API如何被攻破、以及實際有多少用戶下載了惡意文件等關(guān)鍵問題，仍未有明確說明。此次事件再次印證了一點：攻擊者無需觸碰軟件代碼本身，同樣可以造成嚴重危害。

Q&A

Q1：CPUID網(wǎng)站這次遭到的是什么類型的攻擊？

A：此次攻擊屬于供應(yīng)鏈分發(fā)劫持類攻擊。攻擊者并未修改CPUID的軟件源碼或構(gòu)建文件，而是入侵了網(wǎng)站的一個次級API組件，使下載頁面隨機展示指向惡意文件的鏈接。受影響時間段約為6小時（4月9日至10日），用戶下載的不是官方簽名文件，而是攻擊者預(yù)置的惡意安裝包。

Q2：HWMonitor惡意安裝包會對用戶造成哪些危害？

A：根據(jù)vx-underground的分析，該惡意安裝包會植入偽造的CRYPTBASE.dll文件，連接遠程命令與控制服務(wù)器，下載并在內(nèi)存中執(zhí)行額外載荷，同時在受害機器上編譯.NET程序并注入其他進程。更值得警惕的是，該惡意軟件還會嘗試訪問Google Chrome的IElevation COM接口，以竊取瀏覽器中保存的賬號密碼等敏感憑據(jù)。

Q3：如何判斷自己是否下載了CPUID網(wǎng)站的惡意文件？

A：若你在2025年4月9日至10日期間從CPUID官網(wǎng)下載了HWMonitor或CPU-Z等工具，需格外留意以下異常：安裝包觸發(fā)了殺毒軟件警報、文件名與預(yù)期不符（如出現(xiàn)"HWiNFO_Monitor_Setup.exe"字樣）。建議立即使用殺毒軟件進行全面掃描，并檢查瀏覽器中保存的密碼是否有異常登錄記錄，必要時更換相關(guān)賬戶密碼。