当前位置：首页 > 科技 > 知识百科

黑客滥用 Win10 Win11 搜索协议，用于分发恶意软件

来源：责编：时间：2024-06-14 08:47:01 100观看

导读 6 月 13 日消息，网络安全公司 Trustwave 于 6 月 11 日发布博文，表示有攻击者滥用 Windows Search 协议（search-ms URI），通过推送托管在远程服务器上的批处理文件，实现传播恶意软件的目的。Windows Search 协议是一

6 月 13 日消息，网络安全公司 Trustwave 于 6 月 11 日发布博文，表示有攻击者滥用 Windows Search 协议（search-ms URI），通过推送托管在远程服务器上的批处理文件，实现传播恶意软件的目的。

Windows Search 协议是一个统一资源标识符（URI），应用程序通过调用可以打开 Windows 资源管理器，使用特定参数执行搜索。

虽然大多数 Windows 搜索会查看本地设备的索引，但也可以强制 Windows Search 查询远程主机上的文件共享，并为搜索窗口使用自定义标题。

援引 Trustwave 报告，已经有证据表明，黑客通过滥用 Windows Search 协议，实现分发恶意软件的目的。

Trustwave 注意到一封恶意电子邮件，其中包含一个伪装成发票文档的 HTML 附件，该附件被放置在一个小的 ZIP 压缩包中。ZIP 有助于躲避安全 / AV 扫描仪，因为这些扫描仪可能无法解析存档中的恶意内容。

HTML 文件使用 <meta http-equiv="refresh"> 标记，让浏览器在打开 HTML 文档时自动打开恶意 URL。

如果由于浏览器设置阻止重定向或其他原因导致元刷新失败，作为一种后备机制，锚标签（anchor tag）会提供一个指向恶意 URL 的可点击链接，不过这需要用户参与操作。

攻击者通过以下参数，在远程主机上执行搜索：

Query: 搜索标有“INVOICE”的项目。

Crumb：指定搜索范围，通过 Cloudflare 指向恶意服务器。

Displayname: 将搜索显示重新命名为 "下载"，以模仿合法界面。

Location: 使用 Cloudflare 的隧道服务掩盖服务器，将远程资源显示为本地文件，让其看起来合法。

接下来，搜索会从远程服务器检索文件列表，显示一个以发票命名的快捷方式（LNK）文件。如果受害者点击该文件，就会触发同一服务器上的批脚本（BAT）。

为防范这种威胁，Trustwave 建议执行以下命令，删除与 search-ms / search URI 协议相关的注册表项：

regdeleteHKEY_CLASSES_ROOT/search/fregdeleteHKEY_CLASSES_ROOT/search-ms/f

本文链接：//www.dmpip.com//www.dmpip.com/showinfo-119-93526-0.html黑客滥用 Win10 Win11 搜索协议，用于分发恶意软件

声明：本网页内容旨在传播知识，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。邮件：2376512515@qq.com

上一篇：微软发布 .NET 9 第 5 个预览版：改善性能、增强 AI 功能

下一篇：可跨平台对比性能，Basemark 预告 Breaking Limit 光线追踪基准测试

标签：

热门焦点

直屏旗舰来了 iQOO 12和K70 Pro同台竞技

旗舰机基本上使用的都是双曲面屏幕，这就让很多喜欢直屏的爱好者在苦等一款直屏旗舰，这次，你们等到了。据博主数码闲聊站带来的最新爆料称，Redmi下代旗舰K70 Pro和iQOO 12两款手
Golang 中的 io 包详解：组合接口

io.ReadWriter// ReadWriter is the interface that groups the basic Read and Write methods.type ReadWriter interface { Reader Writer}是对Reader和Writer接口的组合，
K8S | Service服务发现

一、背景在微服务架构中，这里以开发环境「Dev」为基础来描述，在K8S集群中通常会开放：路由网关、注册中心、配置中心等相关服务，可以被集群外部访问；图片对于测试「Tes」环境或者
SpringBoot中使用Cache提升接口性能详解

环境：springboot2.3.12.RELEASE + JSR107 + Ehcache + JPASpring 框架从 3.1 开始，对 Spring 应用程序提供了透明式添加缓存的支持。和事务支持一样，抽象缓存允许一致地使用各
大厂卷向扁平化

来源：新熵作者丨南枝编辑丨月见大厂职级不香了。俗话说，兵无常势，水无常形，互联网企业调整职级体系并不稀奇。7月13日，淘宝天猫集团启动了近年来最大的人力制度改革，目前已形成一
阿里大调整

来源：产品刘有媒体报道称，近期淘宝天猫集团启动了近年来最大的人力制度改革，涉及员工绩效、层级体系等多个核心事项，目前已形成一个初步的“征求意见版”：1、取消P序列
信通院：小米、华为等11家应用商店基本完成APP签名及验签工作

中国信通院表示，目前，小米、华为、OPPO、vivo、360手机助手、百度手机助手、应用宝、豌豆荚和努比亚等9家应用商店，以及抖音和快手2家新型应用分发平
7月4日见！iQOO 11S官宣：“鸡血版”骁龙8 Gen2+200W快充加持

上半年已接近尾声，截至目前各大品牌旗下的顶级旗舰都已悉数亮相，而下半年即将推出的顶级旗舰已经成为了数码圈爆料的主流，其中就包括全新的iQOO 11S系
联想的ThinkBook Plus下一版曝光，键盘旁边塞个平板

ThinkBook Plus 是联想的一个特殊笔记本类别，它在封面放入了一块墨水屏，也给人留下了较为深刻的印象。据有人爆料，联想的下一款 ThinkBook Plus 可能更特殊，它