又一全新恶意软件曝光，曾滥用微软驱动程序签名系统

近日，研究人员发现了一种名为 HotPage.exe 的新型恶意软件。

这种恶意软件最初是在 2023 年底被检测到的，起初它伪装成了一个安装程序，表面上可以通过阻止广告和恶意网站来改善网页浏览。

但它实际上是将代码注入远程进程并拦截浏览器流量。正如 ESET 在今天早些时候发布的一份公告中所描述的，该恶意软件可以修改、替换或重定向网页内容，并根据特定条件打开新标签。

有趣的是，HotPage.exe 的嵌入式驱动程序是由微软签署的，但却归属于一家另外的公司。由于有关该公司的信息很少，这引起了人们的警惕。该软件向中文用户推销「网吧安全解决方案」，据称是为了增强浏览体验。

然而，它却将用户重定向到与游戏相关的广告，并收集用户计算机的数据用于统计目的。

2024 年 3 月 18 日，ESET 按照漏洞披露协调流程向微软报告了这一漏洞。微软于 2024 年 5 月 1 日从 Windows 服务器目录中删除了违规驱动程序。此后，ESET将此威胁标记为Win{32|64}/HotPage.A和Win{32|64}/HotPage.B。

进一步调查发现，该公司利用微软的驱动程序代码签名要求，获得了扩展验证（EV）证书。

ESET表示，这说明基于信任的驱动程序签名系统正在被滥用。该公司注册于2022年初，背景不详，其域名dwadsafe.com现已下线。