微軟再次禁用惡意軟件攻擊中濫用的 MSIX 協(xié)議處理程序

美工學習

在多個出于經(jīng)濟動機的威脅團體濫用 MSIX ms-appinstaller 協(xié)議處理程序以惡意軟件感染 Windows 用戶后，微軟再次禁用了 MSIX ms-appinstaller 協(xié)議處理程序。

攻擊者利用 CVE-2021-43890 Windows AppX Installer 欺騙漏洞來規(guī)避安全措施，這些措施可以保護 Windows 用戶免受惡意軟件的侵害，例如 Defender SmartScreen 反網(wǎng)絡(luò)釣魚和反惡意軟件組件以及警告用戶不要執(zhí)行可執(zhí)行文件的內(nèi)置瀏覽器警報文件下載。

微軟表示，威脅行為者使用流行軟件的惡意廣告和 Microsoft Teams 網(wǎng)絡(luò)釣魚消息來推送簽名的惡意 MSIX 應(yīng)用程序包。

微軟公司表示
“自 2023 年 11 月中旬以來，Microsoft 威脅情報觀察到威脅行為者，包括 Storm-0569、Storm-1113、Sangria Tempest 和 Storm-1674 等出于經(jīng)濟動機的行為者，利用 ms-appinstaller URI 方案（應(yīng)用程序安裝程序）分發(fā)惡意軟件 ”。

“觀察到的威脅行為者活動濫用了 ms-appinstaller 協(xié)議處理程序的當前實現(xiàn)，作為可能導(dǎo)致勒索軟件分發(fā)的惡意軟件的訪問向量。多個網(wǎng)絡(luò)犯罪分子還以濫用 MSIX 文件格式和 ms- 應(yīng)用程序安裝程序協(xié)議處理程序。”

Sangria Tempest（又名 FIN7）以經(jīng)濟為動機的黑客組織在參與現(xiàn)已解散的 BlackMatter 和 DarkSide 勒索軟件操作后，曾與 REvil 和 Maze 勒索軟件有聯(lián)系。

在 BleepingComputer 看到的一份微軟私人威脅分析報告中，F(xiàn)IN7 還與利用 Clop 勒索軟件針對 PaperCut 打印服務(wù)器的攻擊有關(guān)。

Emotet 和 BazarLoader 惡意軟件攻擊

兩年多前，Emotet 還在 2021 年 12 月使用偽裝成 Adobe PDF 軟件的惡意 Windows AppX Installer 軟件包來感染 Windows 10 和 Windows 11 系統(tǒng)。

此外，AppX 安裝程序欺騙漏洞還被利用，通過 Microsoft Azure 上托管的惡意程序包和 *.web.core.windows.net URL 來分發(fā) BazarLoader 惡意軟件。

微軟此前于 2022 年 2 月禁用了 ms-appinstaller 協(xié)議處理程序，以阻止 Emotet 的攻擊。

由于在這些攻擊中受到損害的設(shè)備也可能成為勒索軟件的目標，因此雷蒙德本月早些時候再次禁用了 ms-appinstaller 協(xié)議處理程序。

雖然微軟表示該功能已于今天（2023 年 12 月 28 日）默認禁用，但其他人報告稱該更改已于本月初推出。 然而，目前尚不清楚微軟何時以及為何在 2022 年 2 月至 2023 年 12 月期間重新啟用 Windows 應(yīng)用安裝程序。

今天，微軟建議安裝已修補的 App Installer 版本 1.21.3421.0 或更高版本，以阻止利用嘗試。

微軟公司還建議無法立即部署最新應(yīng)用程序安裝程序版本的管理員通過將組策略 EnableMSAppInstallerProtocol 設(shè)置為禁用來禁用該協(xié)議。這樣就可以

道勤主機提供365天*24小時全年全天無休、實時在線、零等待的售后技術(shù)支持。竭力為您免費處理您在使用道勤主機過程中所遇到的一切問題! 如果您是道勤主機用戶，那么您可以通過QQ【792472177】、售后QQ【59133755】、旺旺【詮釋意念】、微信：q792472177免費電話、后臺提交工單這些方式聯(lián)系道勤主機客服！ 如果您不是我們的客戶也沒問題，點擊頁面最右邊的企業(yè)QQ在線咨詢圖標聯(lián)系我們并購買后，我們?yōu)槟�免費進行無縫搬家服務(wù)，讓您享受網(wǎng)站零訪問延遲的遷移到道勤主機的服務(wù)！