微软警告垃圾邮件传播恶意ISO、IMG档，可能是攻击企业用户的前兆

微软安全情报团队近日侦测到，有被注入恶意程式的ISO及IMG两种磁盘映像档随垃圾邮件散布，企图骗取企业用户上钩，微软警告可能是未来攻击行动的前兆。

微软侦测到好几波恶意垃圾邮件（malspam）攻击，以武汉肺炎为名目向各种产业的公司发送，这些邮件挟带着ISO或麦金塔硬盘映像档（IMG）档，其实皆内藏远端木马程式（RAT）Remcos。而和一般垃圾邮件大量发送不同，这批攻击范围很小且时间很短，以避免被安全软件侦测。

例如微软发现到一批邮件在美国流传，且数量很少。该信件冒充美国小型企业管理局（Small Business Administration），锁定希望获得武汉肺炎灾情贷款援助的小型企业发送。信中的夹档含有IMG档，内有一个伪装为PDF档的执行档。一旦用户执行就会植入Remcos，可导致用户机器被接管。

另外也有一波攻击以美国会计师为目标。骇客向美国CPA协会会员，发送以“COVID-19相关讯息”为主旨的信件，信中所附的ZIP Archive档开启后，会释出看似ISO档，实则为内含Remcos的恶意.SCR档。这波攻击也蔓延到韩国；数家制造业接到冒充韩国疾管署的卫生警示网络（Health Alert Network，HAN），因开启其中ISO附档而中镖。

微软安全研究中心总监Tanmay Ganacharya指出，目前尚不知这波攻击的目的，不过按照骇客经常发动侦察式电子邮件（Reconnaissance Email）攻击来看，这可能是为之后发送勒索软件、变脸攻击或产业间谍软件而做的侦测行为，但是冒充ISO、IMG档是比较少见。微软提醒用户要特别留意有这类附档的邮件。

2017年Remcos也曾作乱。安全厂商侦测到这只远端木马程式，躲藏在恶意投影片播放档（ppsx格式），透过电子邮件传给制造业者并植入受害者电脑，方便骇客之后发动其他恶意攻击，如侧录键盘记录、撷取屏幕画面、操控摄影机、开启麦克风监听等。