奥运会变演习场

近日，一家日本安全公司表示，发现了一个以奥运会为主题的恶意软件样本，其中包含擦除受感染系统上全部文件的功能，而且针对的目标似乎是日本个人电脑。

这款擦除器是在上周三（7月21日）发现的，也就是2021年东京奥运会开幕式的前两天。

根据日本安全公司Mitsui Bussan Secure Directions（以下简称MBSD）分析发现，该擦除器不是删除计算机内的所有数据，而是只搜索位于用户个人文件夹（“C:/Users//”）中的某些特定文件类型。

删除目标包括包括微软Office文件，还涉及TXT、LOG以及CSV等常见的存储日志、数据库与密码信息类文件。

此外，该擦除器还针对使用Ichitaro日语文字处理器创建的文件（下文加粗部分的扩展名）。这让MBSD团队相信，这款擦除器是专门针对日本的计算机（通常安装有Ichitaro应用程序）而创建的。

受影响的扩展名：

DOTM, DOTX, PDF, CSV, XLS, XLSX, XLSM, PPT, PPTX, PPTM,JTDC, JTTC, JTD, JTT, TXT, EXE, LOG

文件擦除操作

该擦除器的其他功能还包括大量反分析与反虚拟机检测技术，以防止恶意软件被轻易发现和分析，同时，它还能在操作完成之后将恶意软件自动删除。

以成人视频流量作伪装

然而，其最有趣的功能是，在擦除行为发生时，该擦除器还会使用cURL应用访问XVideos成人视频网站上的页面。

访问色情网站URL的恶意软件

MBSD团队认为，添加该功能是为了欺骗取证调查人员，让他们误以为擦除行为是在用户访问色情网站时感染恶意软件所致。

然而，MBSD团队表示，该擦除器是在 Windows EXE 文件中发现的，而且文件名被刻意仿冒为常见的PDF形式：[紧急]与东京奥运会相关的网络攻击等违规报告（[Urgent] Damage report regarding the occurrence of cyber attacks, etc. associated with the Tokyo Olympics.exe）

MBSD研究人员Takashi Yoshikawa与Kei Sugawara在报告中写道，

“由于该恶意软件使用PDF图标进行伪装，并且仅针对用户（Users）文件夹下的数据，因此可以认定该恶意软件旨在感染那些不具备管理员权限的用户。”

目前，研究人员发现了这款恶意软件样本的两个样本，并已上传至VirusTotal。

FBI警告可能针对奥运会的网络攻击

据悉，就在美国联邦调查局（FBI）向私营行业发出“发现威胁者可能会以今年东京奥运会为目标”的警报一天后，安全人员便发现了这款擦除器。

事实上，针对奥运会的攻击事件并不是什么新鲜事。过去两届奥运会期间都发生过黑客攻击时间。

鉴于兴奋剂丑闻，俄罗斯运动员被限制参加2016年里约夏季奥运会，为此，APT28（又名Fancy Bear）于2016年8月入侵了世界反兴奋剂机构（WADA），并泄露了美欧运动员的保密医疗数据。

在禁令延长至2018年平昌冬奥会之后，俄罗斯黑客又在开幕式期间部署了“奥运会毁灭者”（Olympic Destroyer）擦除器，试图削弱奥运组织者的内部网络。

东京奥运会期间，禁止俄罗斯运动员参赛的禁令仍然有效。所以，此次是否同样为俄罗斯黑客的“报复”行为暂未可知。

参考

therecord