威胁行为者利用 DeepSeek-R1 的普及来攻击运行 Windows 设备的用户

网络犯罪分子已开始利用 DeepSeek-R1（目前可用的最抢手的大型语言模型之一）的激增来分发针对 Windows 用户的复杂新恶意软件。

该恶意活动利用人工智能聊天机器人不断增长的需求作为诱饵，诱骗毫无戒心的用户下载看似合法的 DeepSeek 软件，但实际上却提供了旨在破坏其浏览活动的危险有效载荷。

攻击始于精心策划的恶意广告活动，当用户搜索“deepseek r1”时，将欺诈网站置于 Google 搜索结果的顶部。

主要的网络钓鱼网站 deepseek-platform[.]com 伪装成 DeepSeek 的官方主页，并采用复杂的检测机制来识别 Windows 用户，然后向他们展示一个启动感染链的“立即试用”按钮。

模仿 DeepSeek 的恶意网站

这种方法展示了威胁行为者对用户行为的理解以及他们通过欺骗策略将趋势技术货币化的能力。

Securelist 分析师发现该活动传播了一种以前未知的恶意软件变体，称为“BrowserVenom”，这代表了针对浏览器的恶意软件的重大演变。

研究人员发现的证据表明，讲俄语的威胁行为者是该行动的幕后黑手，并在恶意网站的源代码中发现了嵌入俄语的评论。

感染的地理分布跨越多个大洲，在巴西、古巴、墨西哥、印度、尼泊尔、南非和埃及发现了确诊病例，这表明 DeepSeek 的全球影响力充分利用了 DeepSeek 的国际知名度。

该恶意软件的影响超出了传统的数据盗窃范围，因为 BrowserVenom 专门针对用户的浏览基础设施以建立持久的网络监控功能。

安装后，恶意软件会重新配置所有浏览器实例，以通过位于 141.105.130[.] 的攻击者控制的代理服务器路由流量。106：37121，使网络犯罪分子能够拦截、监控和纵所有网络通信。

感染机制和技术实现

感染过程通过其多阶段部署和社会工程组件展示了非凡的复杂性。

假验证码

在用户点击最初的“立即试用”按钮后，他们会遇到一个由混淆 JavaScript 提供支持的虚假 CAPTCHA 屏幕，该屏幕旨在验证人类交互，同时避免自动安全分析。

成功完成 CAPTCHA 后，受害者会下载 AI_Launcher_1.21.exe，它会在为 Ollama 和 LM Studio 等合法 AI 框架提供安装选项之前提供另一个欺骗性的 Cloudflare 式 CAPTCHA。

恶意软件的核心功能通过该功能执行，该功能与合法软件安装同时运行以避免被发现。MLInstaller.Runner.Run()

此函数首先尝试使用需要管理员权限的硬编码 PowerShell 命令从 Windows Defender 保护中排除用户的目录。

原文来自: cybersecuritynews.com