近期安全研究人員發現了一款名為 TELEPUZ 的模組化惡意軟體。這款軟體不僅開發速度快，且採取了極其狡猾的傳播方式與防禦規避技術。對於開發者與維運工程師來說，理解其攻擊路徑能幫助我們更有效地設計端點防護策略。
傳播路徑：利用 ClickFix 誘導使用者自毀
TELEPUZ 的傳播核心在於一種名為 ClickFix 的社交工程手法。這種攻擊不會嘗試利用軟體漏洞，而是利用人的心理。攻擊者會將網站植入偽造的錯誤訊息，例如瀏覽器崩潰、軟體需要更新或要求進行 CAPTCHA 驗證。
當使用者嘗試修復這些錯誤時，網站會利用剪貼簿劫持（Clipboard Hijacking，也稱為 Pastejacking）技術，將一段惡意指令偷偷放入使用者的剪貼簿中，並指引使用者將其貼上到終端機（如 PowerShell）並執行。對使用者而言，他們以為是在執行修復指令，實際上卻是在親手開啟系統的大門。
攻擊鏈的執行過程
一旦使用者執行了誘導指令，攻擊鏈便正式啟動：
第一階段：執行 PowerShell 並下載 Vidar Stealer 的 Go 語言變體。這是一個資訊竊取工具，專門用來收集敏感資料。
第二階段：Vidar Stealer 會部署一個啟動器（Stager），透過 Windows 的 rundll32.exe 載入核心惡意組件 telepuz.dll。
第三階段：TELEPUZ 正式運行，開始執行環境偵測與權限提升。
極其嚴密的防禦規避機制
TELEPUZ 為了避免被安全分析人員發現，採取了多層次的對抗手段：
環境偵測與反分析：它會檢查硬體資源（例如 CPU 是否少於 2 顆、記憶體是否低於 2GB），並檢查系統語言設定（LCID）。如果發現是在虛擬機（VM）、沙箱環境，或是來自特定地理區域（如獨立國家共同體 CIS 國家），它會立即停止執行。
繞過安全監控：它會執行 Unhooking NTDLL 的操作，目的是移除安全軟體在系統核心 API 上設置的監控鉤子。同時，它會關閉 AMSI（反惡意軟體掃描介面）與 ETW（Windows 事件追蹤），讓其後續的惡意行為在系統日誌中變得不可見。
權限提升與持久化：TELEPUZ 會嘗試透過 COM Elevation Moniker 技術獲取管理員權限。若成功，它會進一步竊取系統關鍵進程（如 spoolsv.exe 或 svchost.exe）的 Token，以取得最高權限 SYSTEM。最後，它會將自己註冊為 Windows 服務，確保電腦重啟後依然能自動執行。
C2 指令控制與多重備援機制
惡意軟體需要與控制伺服器（C2, Command and Control）溝通才能接收指令。TELEPUZ 的 C2 機制設計得非常強健，如果主伺服器失效，它會嘗試四種備援路徑獲取新地址：
從 Telegram 頻道描述中提取加密 URL。 從 Steam 社群個人資料中提取加密 URL。 對特定域名進行 DNS 查詢並解密結果。 從 Polygon 區塊鏈的智能合約中讀取加密 URL。
這種利用第三方合法平台（Telegram, Steam, Blockchain）作為指令傳遞媒介的做法，讓傳統的防火牆封鎖域名變得非常困難。
最終影響與功能
一旦建立連線，攻擊者可以透過 WebSockets 遠端控制受感染機器，執行以下操作： 檔案操作與列舉、記錄鍵盤輸入（Keylogging）、截圖、執行任意命令。 針對 Chromium 核心瀏覽器（如 Chrome, Edge）與 Firefox 進行 Web 注入，利用 Chrome DevTools Protocol (CDP) 竊取 Cookie 或執行惡意 JavaScript。
總結與建議
TELEPUZ 展現了現代惡意軟體趨向模組化與服務化（MaaS, Malware-as-a-Service）的趨勢。它不再依賴單一漏洞，而是結合社交工程、權限提升與多路備援的 C2 通訊。
對於工程師而言，最重要的一點是：絕對不要在終端機中貼上任何來源不明、且聲稱能修復瀏覽器錯誤的指令。同時，應加強對端點異常行為（如非預期的 rundll32.exe 行為或權限提升嘗試）的監控。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。