威胁者一直在利用多个通过谷歌广告推广的网站，分发一款看似可信的 PDF 编辑应用，而该应用实则会植入名为 TamperedChef 的信息窃取恶意软件。 

此次活动是一项大规模网络行动的一部分，该行动涉及多款可相互下载的应用程序，其中部分应用会诱骗用户将其系统注册为住宅代理。

研究人员表示，目前已识别出 50 多个域名用于托管这些欺诈性应用，这些应用由至少四家不同公司签发的虚假证书进行签名。该活动范围广泛且组织严密——操作人员会先让广告正常投放，待时机成熟后再激活应用中的恶意组件。

全面更新触发信息窃取功能

网络安全服务公司 Truesec 的技术分析详细阐述了 TamperedChef 信息窃取恶意软件植入用户系统的过程。研究人员发现，该恶意软件通过多个推广 "AppSuite PDF Editor" 免费工具的网站进行分发。

根据网络记录，调查人员确定该活动始于 6 月 26 日，当时相关的多个网站要么刚完成注册，要么已开始为 AppSuite PDF Editor 投放广告。但研究人员同时发现，这款恶意应用早在 5 月 15 日就已通过 VirusTotal 恶意软件扫描服务的检测。

该程序在 8 月 21 日前一直表现正常，直到当天接收了一次更新后，其内置的恶意功能才被激活——这些功能专门用于收集凭证、网络 Cookie 等敏感数据。

Truesec 指出，TamperedChef 信息窃取恶意软件是通过向 PDF 编辑器的可执行文件传递 "-fullupdate" 参数来实现植入的。

该恶意软件会检查主机上的各类安全代理，还会利用 DPAPI（数据保护应用程序接口，Windows 系统中用于加密敏感数据的组件）查询已安装网页浏览器的数据库。

tamperedChef 信息窃取器检查已安装的安全代理

深入调查分发方式后，Truesec 的研究人员发现证据表明，在 AppSuites PDF Editor 中传播 TamperedChef 的网络犯罪分子，主要依靠谷歌广告推广这款恶意程序。

威胁者可能有一个策略，在激活 AppSuites PDF Editor 中的恶意组件之前，最大限度地提高下载量，因为他们比典型的 60 天 Google 广告活动到期时间提前四天交付了信息窃取器。

深入研究 AppSuites PDF Editor，研究人员发现该程序的不同版本是由至少四家公司颁发的证书签名的，其中包括 ECHO Infini SDN BHD、GLINT By J SDN. BHD 和 SUMMIT NEXUS Holdings LLC、BHD。

诱导用户加入住宅代理网络

Truesec 发现，该活动的操作人员至少从 2024 年 8 月起就开始活跃，并推广了其他工具，包括 OneStart 和 Epibrowser 浏览器。值得注意的是，OneStart 通常被标记为潜在有害程序（PUP，此类程序通常指广告软件）。

但托管检测与响应公司 Expel 的研究人员在调查涉及 AppSuites PDF Editor、ManualFinder 和 OneStart 的事件时发现，这些程序均会 " 植入高度可疑的文件、执行未预期的命令，并将主机转变为住宅代理 "，其行为已更接近恶意软件。 

研究人员发现，OneStart 可下载由 ECHO INFINI SDN. BHD 公司签发证书的 AppSuite-PDF，而 AppSuite-PDF 又能进一步获取 PDF Editor。

Expel 指出："OneStart、AppSuite-PDF 和 PDF Editor 的初始下载渠道，是一系列推广 PDF 及 PDF 编辑器的大型广告活动。这些广告会将用户引导至众多提供上述三款程序下载的网站之一。"

尽管该活动中使用的代码签名证书已被吊销，但当前已安装这些程序的设备仍面临风险。在部分 PDF Editor 的使用场景中，应用会向用户弹出提示，以 " 免费使用工具 " 为交换，请求获得将其设备用作住宅代理的权限。 

研究人员指出，提供代理网络服务的供应商可能是合法实体，并未参与此次恶意活动，而 PDF Editor 的操作人员实则是作为附属机构从中牟利。显然，PDF Editor 的幕后操纵者正以全球用户的利益为代价，试图实现利润最大化。

即便该活动中的这些程序被归为潜在有害程序（PUP），但其具备的功能与恶意软件并无差别，应同等视作恶意软件处理。

研究人员警告称，他们发现的这一网络行动还涉及更多应用程序，其中部分尚未被武器化，但这些应用均具备分发恶意软件或可疑文件、秘密在系统上执行命令的能力。