惡意軟體劫持 Phone Link 竊取 OTP

💡惡意軟體經 Phone Link 竊取 OTP—立即保護企業 Windows（24字元）

⚡ 30-Second TL;DR

有什麼變化

CloudZ RAT 使用 Pheno 掃描並劫持 Phone Link 程序

為什麼重要

依賴 SMS MFA 的企業面臨 Windows 系統被入侵後憑證竊取風險。將安全焦點從行動裝置轉移至受管 PC，挑戰端點防禦。促成 MFA 繞過戰術的演進。

下一步行動

審核並停用使用 SMS MFA 的 Windows 開發機器上的 Phone Link。

誰應關注：Enterprise & Security Teams

AI-generated analysis for this event.

•攻擊者利用 Phone Link 的 SQLite 資料庫檔案（通常位於 AppData 目錄下）進行離線解析，這意味著惡意軟體不需要即時監控程序，只需具備檔案讀取權限即可提取歷史簡訊。
•Cisco Talos 的研究指出，該攻擊鏈中使用的 Rust 編譯載入器採用了多層混淆技術，並透過動態 API 解析來隱藏其與命令與控制（C2）伺服器的通訊行為。
•此類攻擊凸顯了「跨裝置同步」功能的潛在安全風險，即攻擊者無需繞過行動裝置的生物辨識或加密，僅需攻破防禦相對薄弱的 Windows 端點即可獲取雙重驗證（2FA）資訊。

•惡意軟體透過讀取 %LocalAppData%\Packages\Microsoft.YourPhone_8wekyb3d8bbwe\LocalState\ 路徑下的 SQLite 資料庫檔案（如 notifications.db）來獲取簡訊內容。
•Pheno 外掛程式會注入到 Phone Link 的背景處理程序中，利用 Windows API 攔截與簡訊通知相關的事件回呼（Callback）。
•持久性機制透過建立名為「SystemWindowsApis」的排程任務，指向一個隱藏的惡意執行檔，該執行檔會定期檢查 C2 伺服器的指令。
•載入器使用 Rust 語言編寫，利用其記憶體安全特性與跨平台編譯能力，有效降低了被傳統基於特徵碼的防毒軟體偵測到的機率。