仿冒微軟激活工具域名暗藏惡意腳本致Windows設備感染

攻擊者利用仿冒“微軟激活腳本（MAS）”的拼寫錯誤域名，分發惡意PowerShell腳本，使Windows系統感染Cosmali Loader惡意軟件。

安全研究員發現，有多名MAS工具用戶在Reddit平臺反饋，其設備彈出Cosmali Loader感染預警提示。

根據用戶報告，攻擊者搭建了仿冒域名“get.activate[.]win”，該域名與MAS官方激活指南中列出的合法域名“get.activated.win”高度相似。兩個域名僅相差一個字符（合法域名多一個“d”），攻擊者正是利用用戶可能出現的輸入失誤實施攻擊。

警告信息

安全研究員證實，這些預警提示與開源惡意軟件Cosmali Loader相關，且可能與GDATA惡意軟件分析師Karsten Hahn此前發現的類似彈窗預警同源。

Cosmali Loader會投放加密挖礦工具與XWorm遠程控制木馬。目前尚不清楚是誰向用戶推送了預警信息，但大概率是研究員獲取了該惡意軟件的控制面板權限后，通過彈窗告知用戶設備已遭入侵。

微軟激活腳本（MAS）是一套開源PowerShell腳本集合，通過硬件ID（HWID）激活、KMS模擬及多種繞過技術（如Ohook、TSforge），實現微軟Windows系統與Office辦公軟件的自動化激活。

該項目托管于GitHub平臺，由開發者公開維護，但微軟將其認定為盜版工具——因其通過未授權方式規避許可驗證系統，無需購買正版授權即可激活產品。

MAS項目維護者已針對此次攻擊事件發出安全預警，提醒用戶在執行命令前仔細核對輸入內容。同時建議用戶若未完全理解遠程代碼的功能，切勿隨意執行；盡量在沙箱環境中測試未知腳本；避免手動重復輸入命令，以降低因訪問拼寫錯誤域名而加載危險載荷的風險。

需注意的是，非官方Windows激活工具已多次被用于傳播惡意軟件，用戶使用此類工具時需充分認識潛在風險，保持高度警惕。

參考及來源：https://www.bleepingcomputer.com/news/security/fake-mas-windows-activation-domain-used-to-spread-powershell-malware/