攻击者巧借时机，用有关过期安全证书的虚假警报传播恶意软件

网络罪犯分子一直在尝试一种新的分发恶意软件的方法：通过含有指向恶意软件的“安装(推荐)”按钮的过期安全证书虚假警报。

这一计划背后的恶意软件运营者显然是指望用户不知道安全证书是什么，也不了解安全证书的更新情况，于是利用了用户希望保持网络安全的心理。

方案

卡巴斯基实验室的研究人员表示，这些恶意警报已经出现在许多受感染的、主题不同的网站上被发现，而最早的感染可追溯到2020年1月16日。

欺骗性通知以覆盖的iframe形式传递，该iframe从第三方来源加载内容。事实上，浏览器的地址栏显示了受感染站点的URL，即使显示了假警报，也会让警告看起来是合法的。

如果用户上当并点击“安装(推荐)”按钮，就会收到恶意软件。在过去的攻击中，这可能是下载型木马Buerak或者Mokes后门，但在以后的攻击中，任何类型的恶意软件都可以进行分发。

旧技巧的新玩法

恶意软件运营者多年来一直在使用虚假警报来促使用户下载特定版本的、广泛使用的某个软件(例如Adobe Flash Player、Google Chrome)的新版本，而利用过时安全证书的警报其实只是一个很老的技巧，做了点新花样。

近期用户看到安全证书相关警报的频次相比平时会更高，这和Let’s Encrypt将从3月4日起会撤销近300万个TLS证书有关，恶意软件分发者利用这个时机在积极活动。