网络安全公司ZenoX（隶属于Dfense集团）发布报告指出，一场恶意软件活动利用巴西政府域名（含合法及伪造）欺骗用户并窃取敏感数据。调查显示，该活动与以针对巴西数字欺诈闻名的黑客组织Plump Spider存在关联。
研究表明，攻击者利用受信任的公共基础设施托管或重定向恶意文件。由于政府域名通常被视为安全，这种策略显著提高了攻击成功率。
在分析案例中，研究人员发现戈亚斯州政府的一个合法子域名被用于分发名为“Certificado_PCAP.exe”的恶意可执行文件。当受害者访问特定链接时，该文件会自动下载。此外，犯罪分子还创建了模拟公共服务（如阿马帕州政府官网）的虚假页面，尽管这些网站实际托管在攻击者控制的服务器上。
Dfense集团首席执行官Gabriel Paiva表示，这一场景反映了数字欺诈行动的演变：“我们正看到越来越结构化的活动，它们结合社会工程、分布式基础设施和用于窃取凭证的专业恶意软件。巴西仍是这些行动的主要目标之一。”
攻击运作机制
报告显示，攻击通过多步骤感染链进行。过程通常始于通过邮件发送或植入被入侵页面的恶意链接，将用户重定向至看似可信的地址。
访问该地址后，受害者的系统会自动开始下载一个用Delphi语言开发的信息窃取程序。Delphi常被用于创建旨在窃取金融数据的特洛伊木马。
一旦安装，恶意软件会收集浏览器存储的凭据、捕获会话Cookie和身份验证令牌，并访问系统文件。这些信息随后会被发送至犯罪分子控制的服务器。
为规避检测，被盗数据可通过合法的互联网服务传输，作为命令与控制基础设施（C2）。部分案例中，数据传输是通过常用于测试Web应用程序的Webhook.site平台进行的。
恶意软件伪装成合法软件
专家发现，攻击者在基于Electron的应用程序中使用了侧加载技术，允许在看似合法的程序内执行恶意代码。在一个案例中，恶意软件被整合到自称是BoostNote（一款真实的协作注释软件）的应用程序中。
尽管可见界面正常运行，恶意代码却在后台收集系统信息。该软件还定期（约每120秒一次）与攻击者控制的服务器通信，以发送窃取的数据或接收新指令。
风险增加需主动防御
随着此类活动日益复杂，公共和私营机构需提高数字安全成熟度，尤其是在面对利用可靠基础设施的攻击时。
建议采取以下措施：
- 部署抗网络钓鱼的多因素认证（FIDO2 或 WebAuthn）；
- 采用行为端点检测（EDR）解决方案；
- 实施内容安全策略以防止恶意脚本运行；
- 进行持续威胁情报监控。