仿冒Kling AI的Facebook廣告分發遠程木馬：超2200萬用戶面臨風險
仿冒Kling AI的Facebook廣告分發遠程木馬：超2200萬用戶面臨風險
近期，網絡安全領域曝光一起針對Facebook用戶的惡意廣告攻擊事件，攻擊者通過仿冒知名AI工具“Kling AI”的虛假廣告，誘導用戶下載偽裝成合法軟件的遠程木馬程序，導致全球超2200萬用戶面臨隱私泄露、設備被控等安全風險。
仿冒知名AI工具
攻擊者創建與“Kling AI”高度相似的虛假官網和廣告頁面，利用用戶對AI技術的興趣，宣稱提供“免費AI視頻/圖像生成”服務。用戶點擊廣告后，被引導至惡意下載鏈接，實際獲取的是包含木馬的壓縮包。多階段感染流程
用戶下載的ZIP文件（如VideoDreamAI.zip）包含偽裝成視頻編輯工具的惡意程序（如篡改的CapCut版本）。程序運行后，通過隱藏文件夾釋放更多組件，包括：惡意加載器（如
CapCut.exe）命令執行模塊（如
AICore.dll）密碼保護的壓縮包（需解密密碼：
TONGDUCKIEMDEVELOPER2025）
最終，木馬通過內存加載技術執行Noodlophile Stealer竊密程序和XWorm遠程控制工具，實現持久化駐留。Telegram機器人外泄數據
竊取的瀏覽器憑證、加密貨幣錢包數據等敏感信息，通過Telegram機器人自動上傳至攻擊者控制的服務器，用戶隱私泄露風險極高。
全球傳播范圍：攻擊者通過Facebook廣告系統精準投放，部分虛假廣告單篇瀏覽量超6.2萬次，覆蓋范圍廣泛。
目標群體：主要針對AI技術愛好者、小型企業及內容創作者，此類用戶對AI工具需求高，但安全意識相對薄弱。
潛在危害：
瀏覽器憑證泄露可能導致社交媒體、郵箱等賬號被盜。
加密貨幣錢包數據被竊取，直接威脅用戶財產安全。
XWorm遠程控制工具允許攻擊者完全控制設備，可能用于進一步傳播惡意軟件或發起DDoS攻擊。
開發者身份：開源情報（OSINT）調查顯示，攻擊活動疑似由一名越南籍開發者發起，其Facebook主頁公開推廣惡意軟件，并參與其他網絡犯罪活動。
技術特征：
惡意程序使用篡改的合法軟件簽名（如通過Winauth創建的證書）規避檢測。
多階段感染流程設計復雜，結合內存加載、密碼保護等技術，增加安全分析難度。
1.用戶端防范措施
謹慎下載來源：避免從社交媒體廣告、第三方平臺直接下載軟件，務必通過官方渠道獲取。
驗證文件真實性：下載后使用VirusTotal等工具掃描，確認無惡意代碼再執行。
警惕異常行為：若程序要求解密密碼或提示安裝額外組件，立即終止操作。
2.企業端防護策略
加強員工培訓：定期開展網絡安全教育，識別仿冒AI工具的釣魚廣告。
部署終端防護：使用EDR（端點檢測與響應）工具實時監控異常行為，攔截木馬執行。
限制廣告訪問：通過防火墻或網絡策略屏蔽可疑廣告域名，減少暴露風險。
仿冒Kling AI的攻擊事件再次暴露了AI技術被濫用的風險。隨著AI工具的普及，網絡犯罪分子正將其作為社會工程攻擊的誘餌，結合復雜的惡意軟件傳播技術，對用戶和企業構成嚴重威脅。唯有通過技術防護、法律規范與公眾教育的協同，才能有效遏制此類攻擊，保障數字時代的信息安全。
END
