虚假PDF编辑器暗藏TamperedChef信息窃取恶意软件

威胁者一直在利用多个通过谷歌广告推广的网站，分发一款看似可信的PDF编辑应用，而该应用实则会植入名为TamperedChef的信息窃取恶意软件。 

此次活动是一项大规模网络行动的一部分，该行动涉及多款可相互下载的应用程序，其中部分应用会诱骗用户将其系统注册为住宅代理。

研究人员表示，目前已识别出50多个域名用于托管这些欺诈性应用，这些应用由至少四家不同公司签发的虚假证书进行签名。该活动范围广泛且组织严密——操作人员会先让广告正常投放，待时机成熟后再激活应用中的恶意组件。

全面更新触发信息窃取功能

网络安全服务公司Truesec的技术分析详细阐述了TamperedChef信息窃取恶意软件植入用户系统的过程。研究人员发现，该恶意软件通过多个推广“AppSuite PDF Editor”免费工具的网站进行分发。

根据网络记录，调查人员确定该活动始于6月26日，当时相关的多个网站要么刚完成注册，要么已开始为AppSuite PDF Editor投放广告。但研究人员同时发现，这款恶意应用早在5月15日就已通过VirusTotal恶意软件扫描服务的检测。

该程序在8月21日前一直表现正常，直到当天接收了一次更新后，其内置的恶意功能才被激活——这些功能专门用于收集凭证、网络Cookie等敏感数据。

Truesec指出，TamperedChef信息窃取恶意软件是通过向PDF编辑器的可执行文件传递“-fullupdate”参数来实现植入的。

该恶意软件会检查主机上的各类安全代理，还会利用DPAPI（数据保护应用程序接口，Windows系统中用于加密敏感数据的组件）查询已安装网页浏览器的数据库。

tamperedChef 信息窃取器检查已安装的安全代理

深入调查分发方式后，Truesec的研究人员发现证据表明，在AppSuites PDF Editor中传播TamperedChef的网络犯罪分子，主要依靠谷歌广告推广这款恶意程序。

威胁者可能有一个策略，在激活AppSuites PDF Editor中的恶意组件之前，最大限度地提高下载量，因为他们比典型的60天Google广告活动到期时间提前四天交付了信息窃取器。

深入研究AppSuites PDF Editor，研究人员发现该程序的不同版本是由至少四家公司颁发的证书签名的，其中包括ECHO Infini SDN BHD、GLINT By J SDN. BHD和SUMMIT NEXUS Holdings LLC、BHD。

诱导用户加入住宅代理网络

Truesec发现，该活动的操作人员至少从2024年8月起就开始活跃，并推广了其他工具，包括OneStart和Epibrowser浏览器。值得注意的是，OneStart通常被标记为潜在有害程序（PUP，此类程序通常指广告软件）。

但托管检测与响应公司Expel的研究人员在调查涉及AppSuites PDF Editor、ManualFinder和OneStart的事件时发现，这些程序均会“植入高度可疑的文件、执行未预期的命令，并将主机转变为住宅代理”，其行为已更接近恶意软件。 

研究人员发现，OneStart可下载由ECHO INFINI SDN. BHD公司签发证书的AppSuite-PDF，而AppSuite-PDF又能进一步获取PDF Editor。

Expel指出：“OneStart、AppSuite-PDF和PDF Editor的初始下载渠道，是一系列推广PDF及PDF编辑器的大型广告活动。这些广告会将用户引导至众多提供上述三款程序下载的网站之一。”

尽管该活动中使用的代码签名证书已被吊销，但当前已安装这些程序的设备仍面临风险。在部分PDF Editor的使用场景中，应用会向用户弹出提示，以“免费使用工具”为交换，请求获得将其设备用作住宅代理的权限。 

研究人员指出，提供代理网络服务的供应商可能是合法实体，并未参与此次恶意活动，而PDF Editor的操作人员实则是作为附属机构从中牟利。显然，PDF Editor的幕后操纵者正以全球用户的利益为代价，试图实现利润最大化。

即便该活动中的这些程序被归为潜在有害程序（PUP），但其具备的功能与恶意软件并无差别，应同等视作恶意软件处理。

研究人员警告称，他们发现的这一网络行动还涉及更多应用程序，其中部分尚未被武器化，但这些应用均具备分发恶意软件或可疑文件、秘密在系统上执行命令的能力。