近期，網絡安全領域迎來了一起令人矚目的安全事件。網絡安全解決方案提供商WithSecure發布了一份詳細報告，揭示了網絡黑客在過去至少八個月中，通過篡改廣受歡迎的開源密碼管理器KeePass，實施了一系列復雜的攻擊。
事件的起因是WithSecure在調查一起勒索軟件攻擊案件時，意外發現了這一精心策劃的惡意活動。黑客們利用Bing廣告作為誘餌，投放了指向惡意KeePass安裝程序的廣告，這些廣告將用戶引導至偽裝成官方下載頁面的網站，從而誘使用戶下載并安裝了被篡改的KeePass軟件。
KeePass作為一款開源軟件，其源代碼的易獲取性成為了黑客們的目標。他們修改了源代碼，創造了一個名為KeeLoader的木馬版本。這個版本表面上看似與普通KeePass無異，能夠正常執行密碼管理功能，但實際上卻暗藏殺機。一旦用戶安裝并運行，KeeLoader便會悄無聲息地安裝Cobalt Strike信標，并導出KeePass密碼數據庫中的信息，以明文形式展示，隨后通過Cobalt Strike信標竊取用戶的敏感數據。
經過深入分析，WithSecure的研究人員發現，此次攻擊中使用的Cobalt Strike水印與臭名昭著的Black Basta勒索軟件相關聯，指向了同一個初始訪問代理（IAB）。他們還發現了多個KeeLoader的變種，這些變種不僅使用了合法的證書進行簽名，以增加其欺騙性，還通過一系列拼寫錯誤的域名（如keeppaswrdcom、keegasscom）進行傳播，進一步迷惑用戶。
更令人擔憂的是，部分偽裝成KeePass官方網站的惡意站點仍在活躍，繼續分發被篡改的KeePass安裝程序，對用戶的網絡安全構成嚴重威脅。據BleepingComputer的報道，這些站點仍在利用用戶的疏忽，將惡意軟件傳播給更多無辜的受害者。
KeeLoader的功能不僅限于植入Cobalt Strike信標，它還具備直接的密碼竊取能力。黑客們通過KeeLoader捕獲用戶輸入的憑據，并將數據庫中的數據以CSV格式導出，存儲在本地目錄下。這一行為不僅侵犯了用戶的隱私，還導致了一些受害公司的VMware ESXi服務器被勒索軟件加密，遭受了嚴重的經濟損失。
在進一步的調查中，WithSecure的研究人員發現，黑客們構建了一個龐大的基礎設施，用于分發偽裝成合法工具的惡意程序，并通過釣魚頁面竊取用戶的憑據。例如，他們利用aenyscom域名托管了多個子域名，這些子域名偽裝成WinSCP、PumpFun等知名服務，用于分發不同種類的惡意軟件或竊取用戶的登錄憑據。
