IT 之家 12 月 25 日消息，科技媒体 bleepingcomputer 昨日（12 月 24 日）发布博文，报道称攻击者近期利用 " 域名抢注 " 手段，建立了一个与知名微软激活脚本（MAS）极度相似的虚假网站，仅通过一个字母的拼写差异（缺少 "d"）诱导用户下载 "Cosmali Loader" 恶意软件。

IT 之家注：MAS 本身是一个在 GitHub 上开源的脚本集，用于绕过微软的许可验证来激活 Windows 和 Office，官网地址为 "get.activated.win"。而攻击者精心设计了一个名为 "get.activate.win" 的恶意域名，两者仅相差一个字母 "d"。

攻击者利用了 " 域名抢注 " 方式，即用户在 PowerShell 中手动输入命令时容易产生拼写错误发起攻击。一旦用户误入该伪造域名，系统将不会执行正常的激活程序，而是被强制下载并运行恶意 PowerShell 脚本，进而下载和运行 "Cosmali Loader" 病毒。

Reddit 社区近日出现大量用户反馈，称电脑突然弹出一条离奇的警告信息。弹窗直白地指出用户因输错网址而感染了恶意软件，并警告称 " 恶意软件面板不安全，任何人都能访问你的电脑 "，最后建议用户立即重装 Windows 系统。

安全研究人员 RussianPanda 调查发现，这并非攻击者的勒索信，极可能是一位 " 白帽 " 研究人员发现了该恶意软件控制后台的漏洞，在获取权限后，利用该通道向所有已感染的受害者发送了善意的风险提示。

尽管有人发出了善意警告，但 "Cosmali Loader" 的危害不容小觑。据分析，该恶意软件主要负责投放两类载荷：一是加密货币挖矿工具，会暗中消耗系统资源导致电脑卡顿；二是名为 XWorm 的远程访问木马（RAT）。XWorm 赋予了攻击者对受害系统的完全控制权，使其能够窃取敏感数据、监控用户行为甚至执行更多恶意指令。