近日，一种名为“Domen”的新型黑客工具包被发现，它潜伏在被黑掉的合法网站上，通过展示虚假浏览器和应用软件更新警报页面来诱骗你点击，进而使用恶意软件和远程访问软件来感染你的设备。

虽然攻击者利用虚假浏览器和应用软件更新警报来传播恶意软件并不是什么新鲜事，但是网络安全公司Malwarebytes的研究人员Jerome Segura发现，Domen工具包具有高度的复杂性和可定制性，能够适用于各种不同的浏览器和应用软件客户端。

支持30种语言，计算机、移动设备都适用

当你打开被黑掉的合法网站时，Domen工具包将用一个虚假更新警报页面覆盖原始的网站页面。这些虚假警报旨在诱骗你下载并执行“更新程序”，进而使用攻击者选定的恶意有效载荷来感染你的设备。

那么，这到底是如何实现的呢？原来，当你打开网站时，浏览器就会打开一个iframe（html标签）到另一个网站——chrom-update.online。这个iframe包含一个大小约280 KB的脚本，名为“template.js”，它将被加载到浏览器中。

图1.chrom-update.online iframe的内容

template.js是Domen工具包的主文件，包含了决定要显示哪种类型警报的所有逻辑、将被阻止的用户代理以及用于覆盖的HTML和css。虚假更新覆盖层中显示的所有图片都托管在imgur.com上，这使得该脚本的体积非常小。

下图展示的是template.js文件的一部分，它决定了定将显示哪种类型的警报。如注释所示，该脚本可以显示虚假的浏览器更新、虚假的Flash Player更新，以及虚假的字体警报，具体取决于“banner”变量的值。

图2.Domen工具包的常规配置

举例来说，如果将“banner”变量的值设置为“1”，那么将显示一个虚假的浏览器更新警报，如下图所示：

图3.虚假谷歌Chrome更新

但如果将“banner”变量的值设置为“2”，那么则会显示虚假的“PT Sans not found（找不到PT Sans字体）”警告，提示你下载并安装PT Sans字体包。从外观上看，页面和EITest Chrome的HoeflerText字体更新提醒页面非常相似：

图4.虚假PT Sans字体更新提醒

最后，如果将“banner”变量的值设置为“3”，那么则会显示虚假的Flash Player警报，提示你下载并安装该程序的更新。

图5.虚假Flash Player更新提醒

如上所述，除了可以显示各种虚假覆盖层之外，Domen工具包还支持30种不同的语言，且同时适用于计算机用户和移动设备用户。

图6.Domen工具包的语言模板

传播的远程访问软件之一�.NETSupport Manager

当你在下载这些虚假更新程序的同时，一个名为“download.hta”的文件也将随之被下载。

执行时，download.hta文件将启动一个PowerShell命令，以从远程站点下载一个文件，将其保存到“％Temp％ _jscheck.exe”，然后执行它。

图7.download.hta文件

执行时，NetSupport Manager将会被安装，进而允许攻击者远程接管受感染的设备。具体来讲，攻击者将获得包括屏幕截图、执行任意命令以及上传和下载文件的能力。

图8.已安装的NetSupport Manager客户端

NetSupport Manager是一款以windows为中心的合法跨平台远程访问软件，允许用户将运行Windows、mac、linux和Solaris操作系统的设备（或者运行IOS 和 Android操作系统的移动设备）作为单个控制台，同时对其他多台设备（可以是运行不同操作系统的设备）进行远程屏幕控制和系统管理，但后来却遭到了黑客的滥用。

坏消息是，网络安全研究员 mol69发现，Domen工具包不仅传播了NetSupport Manager，而且也传播了Amadey、Raccon和Predator 木马（全都是信息窃取类计算机病毒）。

图9. 网络安全研究员mol69发布的推文

不仅如此，在最近发现的一些恶意活动中，攻击者还将template.js文件合并到了被黑网站使用的其他JAVAScript文件中，这使得它更加难以被检测出来。

随着越来越多使用Domen工具包的恶意活动被发现，Malwarebytes公司认为，我们应该会在接下来很长的一段时间里看到这款黑客工具包被广泛使用。