2 月初以來，發現多款應用程式將門羅幣加密貨幣挖礦程式植入用戶電腦。根據卡巴斯基報告，這些混合惡意軟體（偽裝成防毒軟體安裝程式）透過隨機出現在用戶搜尋結果的惡意網站散播，每天攻擊超過 2,500 名用戶，這次偽裝成 廣告攔截器 和 OpenDNS 服務。
「根據最新統計，混合惡意軟體自 2 月初以來已感染超過 20,000 名用戶。」
技術細節
混合惡意軟體以 AdShield Pro 之名散播，為 AdShield 行動版廣告攔截器的 Windows 版。用戶安裝廣告攔截器後，裝置 DNS 設定會自動被竄改，所有網域從攻擊者端解析，導致受害者無法存取原有防毒軟體，電腦完全失去對潛在木馬的防護。
情況更糟！如何？請繼續閱讀！
惡意軟體還會在電腦安裝合法版 Transmission BitTorrent 客戶端，為駭客建立後門遠端存取您的電腦。
DNS 伺服器成功被替換後，惡意軟體執行 update.exe 並帶參數 self-upgrade ("C:\Program Files (x86)\AdShield\updater.exe" -self-upgrade) 開始自我更新。自我更新檔案連線 C&C 伺服器，發送受感染機器所有關鍵資訊（從安裝過程開始）。執行檔中部分命令行經過深度加密，增加靜態偵測難度。
執行檔從 transmissionbt[.]org 下載，執行修改版 Transmission Torrent 客戶端。整個過程中，惡意軟體持續向 C&C 發送受感染機器資訊並下載挖礦模組。
無論這個惡意廣告攔截器如何進入裝置，其可怕的惡意程式碼會散佈至整個磁碟空間、鎖定資料並開始挖掘門羅幣。駭客在 Windows 工作排程器執行 servicecheck_XX 任務，確保持續運作。
重要延伸閱讀：
- 系統已感染勒索軟體該怎麼辦？
- 2021 年 Safari 瀏覽器 8 大最佳廣告攔截器
- Firefox 十大最佳廣告攔截器
- Chrome、Mozilla 和 Opera Mini 十大最佳廣告攔截器
- 2021 年九大最佳身分盜竊防護服務
如何移除挖礦程式？
根據卡巴斯基最新部落格文章，可透過將冒充檔案替換為官方資源的合法檔案來移除挖礦程式。若系統發現 flock.exe 程序，立即結束該程序並解除安裝 AdShield、NetShieldKit、OpenDNS 和 Transmission torrent。並考慮移除以下資料夾（若存在）：
C:\ProgramData\Flock%allusersprofile%\start menu\programs\startup\flock%allusersprofile%\start menu\programs\startup\flock2
最後，從 Windows 工作排程器刪除 servicecheck_XX 任務完成清理。
避免未來感染的終極解決方案
執行最佳防毒軟體應為首要任務。推薦在 Windows PC 執行 Systweak Antivirus，具備偵測並消除幾乎所有威脅的潛力，在威脅安裝或造成傷害前攔截。Systweak Antivirus 亮點：
- 即時防護
- 背景運行不影響效能
- 分析已安裝應用程式行為，及時採取必要行動
- 維護所有偵測威脅的日誌
- 掃描系統每個角落提供最大防護
- 輕量級防毒軟體，不大量佔用系統資源
- 多種掃描模式：快速掃描、深度掃描、自訂掃描，快速有效掃描最脆弱區域
- 專用廣告攔截器 StopAll Ads 阻擋潛在有害廣告與連結，促進安全網頁瀏覽
- 漏洞防護偵測並移除 PUA（潛在垃圾程式）
- 檢查、管理、移除可能拖慢開機時間的啟動項目
如何使用 Systweak Antivirus？
擁有如此互動功能集，Systweak Antivirus 設計目標是以最便利方式提供最佳防護。保護系統請遵循以下步驟：
步驟 1 - 安裝 Systweak Antivirus，安全應用程式將自動啟動。
步驟 2 - 從主儀表板點擊放大鏡圖示，選擇所需掃描模式：快速掃描、深度掃描或自訂掃描！
步驟 3 - 確認掃描程序，讓 電腦安全解決方案 掃描系統每個角落並消除所有潛在威脅！
您將收到提醒——您的電腦受到保護，免受有害威脅！
若想無煩惱攔截廣告，可嘗試改用 Brave 瀏覽器。若曾安裝或使用 AdShield Pro，請在下方留言分享您的體驗！
