谨慎下载 Win10 ISO镜像被黑客下马：攻击手法罕见

很多网友下载安装Windows系统习惯从网上找ISO镜像，然而这种方式也被别有用心的黑客盯上了，通过在ISO镜像种下木马，盗窃用户的数字资产，普通人容易中招。

安全厂商Doctor Web前不久在一家客户的Win10电脑中发现了问题，后者被种上了名为Clipper的木马程序及其他恶意程序。

据了解，Clipper这种木马会将用户设备上的加密货币电子钱包网址置换成攻击者控制的服务器网址，借此窃取用户财产。

这个客户下载的ISO镜像不是微软原版的Win10 Pro 22H2，而是通过P2P网络下载的，殊不知一开始就被人植入恶意程序了。

而且这个木马的攻击方式也很罕见，会现在Windows中创建EFI磁盘分区（EFI partition），然后加载一个注入程序，再用进程清空的方式将木马植入到正常的系统进程Lsaiso.exe中，目的就是避免被安全软件检测到。

在控制正常的进程之后，Clipper还会监测用户是否安装了安全软件，如果有就按兵不动，如果没有安全软件就会在用户使用电子钱包的过程中窃取信息，替换为黑客控制的服务器，最终盗取财产。

这种攻击方式很罕见，好在黑客窃取的资金并不算多，才1.9万美元。