Win Driver Blog

上週瀏覽了《赫芬頓郵報》網站嗎？你可能中毒了。上個星期，《赫芬頓郵報》和幾個大型網站的廣告被惡意程式感染，並使瀏覽者電腦染上病毒遭到鎖定。瀏覽者要解鎖感染了惡意程式的電腦，需要給駭客匯錢。網路安全公司Cyphort的研究人員發現了這起網路攻擊和敲詐勒索事件。

據CNN財經新聞報導，目前還不清楚有多少台電腦受到感染。這次襲擊似乎只感染過時瀏覽器如Internet Explorer 8的Windows系統。新版本的瀏覽器如Internet Explorer 11、谷歌Chrome和Mozilla的Firefox則未受到惡意程式影響。

研究人員說，在12月31日到1月5日期間該惡意程式在AOL（美國在線）網路服務支持的廣告上運行，也有可能更早，早在十月份就出現了。

如果你使用的是較低版本的瀏覽器，哪怕只造訪一個網站也足以中招了。當廣告出現時，無論瀏覽者是否點擊它們，電腦都會感染上惡意程式。

《赫芬頓郵報》、男性雜誌《FHM》、《LA週刊》（LA Weekly）、《休斯頓新聞》（Houston Press）和視頻遊戲網站GameZone顯示的廣告都被惡意程式搭車。

FHM的出版商英國鮑爾媒體要求其廣告合作夥伴The Rubicon Project (RUBI)對此事進行調查。其他網站則對CNNMoney報導的事件沒有進行回應。

AOL發言人Gerasimos Manolatos表示，AOL「正在迅速採取必要措施加以糾正」，並表示：「AOL致力於對廣告流程提供新水平的透明度，確保廣告符合質量標準，創造良好的消費體驗。」但是，AOL沒有透露有多少用戶受到有毒廣告的影響。

惡意程式 Kovter

惡意程式名為Kovter，一旦用戶電腦感染了它，電腦和鍵盤及滑鼠的聯繫被切斷。螢幕被鎖定，顯示一條自稱是執法者的消息。消息說你在看兒童色情內容，並對你進行300美元罰款，你必須透過難以跟蹤的MoneyPak使用萬事達卡和Visa卡付款。該惡意程式能計算出您的電腦的位置，並相應編輯訊息內容。美國用戶電腦會收到FBI假消息。法國用戶會收到法國國家警察假消息。德國、土耳其和英國的居民也會收到該國以警方名義的假消息。當然這是一個勒索騙局。

Kovter沒有同類程式CryptoLocker和Cryptowall惡毒，Kovter不會加密你的文件，它只是阻礙你。如果你在「安全模式」下重新啟動您的電腦，並運行反病毒程式如Malwarebytes並清潔你的電腦，你還是能夠恢復對電腦的使用。

它是如何發生的？

許多網站依靠第三方廣告向用戶電腦提供廣告。這是一個自動化且複雜的市場。交易速度以毫秒為單位。購買和銷售網路廣告的絕對速度讓罪犯很容易偽裝成合法廣告商家，而在廣告上搭載病毒。惡意廣告難以捕捉到。一次病毒掃瞄是不夠的。廣告不是靜態的圖片，廣告遞送的是從伺服器發送的訊息流，並且來源可以重複改變。Cyport解釋道，在這種情況下，AOL的警報沒響，是因為廣告8次重定來源，最後一個來源是來自波蘭一默默無聞的伺服器。

Cyphort的安全研究主任Nick Bilogorskiy說，惡意廣告針對HuffingtonPost.com的每一個訪客。他說，這些犯罪份子膽大包天試圖勒索太多人，他從未見過以這麼大規模進行勒索。他說，惡意廣告是個大問題，在2015年會變得越來越兇猛

Cyphort在1月3日警告過AOL惡意廣告的問題，AOL後來關閉廣告兩天。

Cyphort說，谷歌的程式也被用來傳遞惡意廣告。谷歌沒有對此問題作出回應。