一起涉及WhatsApp传播恶意软件的电脑入侵事件，揭露黑客可能在用户毫无察觉下，长期潜伏于Windows系统内，收集浏览器及账号登录资料，并将大量数据传送至外部服务器。受害者却直到近一个月后，才发现WhatsApp账号异常，向联系人发送恶意压缩文件。
陈国豪近期借助Claude人工智能（AI）工具，协助调查一宗WhatsApp账号遭滥用事件，收集到传播恶意文件的攻击时间线。
《光华网》科技专栏作者陈国豪指出，他近期借助Claude人工智能（AI）工具，协助调查一宗WhatsApp账号遭滥用事件，通过分析电脑可疑文件、系统记录及恶意程序，还原出一条从电脑感染、远程控制、资料收集到WhatsApp传播恶意文件的攻击时间线。
根据调查记录，受害者的Windows电脑早在2026年9月21日便已遭木马入侵。到了10月20日上午11时20分，系统日志显示，超过233MB资料已成功上传至攻击者控制的服务器；同日下午5时26分至5时27分，受害者的WhatsApp账号出现向联系人发送恶意ZIP压缩文件的记录。
这意味着，从电脑最初遭入侵到WhatsApp出现明显异常，前后相隔近一个月。
伪装财务报表诱使用户打开恶意文件
陈国豪指出，这起攻击利用WhatsApp作为传播渠道。受害者收到一份外观类似PDF财务报表的ZIP压缩文件，由于信息来自认识的人，容易降低戒心，进而在Windows电脑上下载并打开文件。
然而，调查发现，该压缩文件并非单纯的财务报表，而是包含虚拟硬盘文件（VHDX）及恶意程序的攻击包。
一旦用户执行相关文件，恶意程序便可能在电脑内安装及运行，进一步部署其他组件，甚至尝试干扰系统的安全防护。
他强调，WhatsApp是恶意文件的传播渠道，真正的感染环节则发生在用户打开恶意文件后的Windows电脑上。
目前，这宗个案并未发现手机本身遭直接感染的证据，因此不能将电脑感染与手机感染混为一谈。
系统记录揭露 近一个月攻击过程
根据陈国豪分析的系统记录，整起事件的发展过程大致如下：
- 9月21日： 受害者打开恶意ZIP文件，电脑开始执行相关恶意程序，并出现部署可干扰防毒软件的驱动程序迹象。
- 9月22日： 电脑出现ManageEngine Endpoint Central远程管理工具。该软件原本用于企业电脑管理，但若遭攻击者滥用，可能成为远程控制受感染电脑的工具。
- 9月23日： 系统出现约376MB的浏览器资料压缩文件，涉及Chrome及Microsoft Edge相关数据。
- 9月28日： 名为“888.exe”的程序出现在电脑内。分析显示，该程序具有收集浏览器及WhatsApp相关登录资料的能力。
- 10月5日至16日： 系统记录显示，恶意程序持续整理、压缩及尝试上传资料。
- 10月20日上午11时20分： 系统日志记录超过233MB资料成功上传。
- 10月20日下午5时26分至5时27分： WhatsApp出现向联系人发送恶意ZIP文件的记录。
陈国豪指出，这些记录显示，电脑在出现明显异常之前，可能已持续受到监控或资料窃取活动影响一段时间。
不过，个别程序的具体用途、实际窃取的数据范围，以及攻击者如何取得WhatsApp会话资料，仍须依据完整取证结果进一步确认。
正规远程管理软件也可能遭滥用
调查过程中，陈国豪也发现电脑内出现ManageEngine Endpoint Central。这是一套合法的企业端点管理软件，但若安装及管理权限落入攻击者手中，也可能被用来远程管理受害电脑。
更值得注意的是，调查人员尝试卸载相关软件时，系统要求输入验证码，导致移除操作受到限制。
此外，电脑内也出现具有合法数字签名的软件，以及可能被用于干扰安全防护的驱动程序。
陈国豪提醒，黑客不一定会让受感染电脑立即死机或无法操作。相反，维持电脑正常运行，可能更有利于持续收集资料、维持远程连接及等待进一步行动。
因此，用户即使没有发现明显的系统异常，也不能据此认定电脑安全。单纯删除原本下载的ZIP文件，或运行一次普通防毒扫描，也未必足以清除已经安装在系统其他位置的恶意组件。
浏览器及账号登录资料成黑客目标
陈国豪指出，现代木马的目的未必是破坏电脑，而可能是窃取用户身份及登录凭证。
浏览器可能保存Google、Microsoft、Facebook等平台的账号资料、密码及登录会话信息；WhatsApp相关登录数据若遭窃取，也可能增加账号被冒用的风险。
至于键盘记录器（Keylogger），虽然这类恶意程序能够记录用户输入的文字，包括用户名及密码，但此次调查并未找到足够证据确认受害电脑安装了键盘记录器。
他强调，即使没有键盘记录器，攻击者仍可能通过窃取浏览器保存的密码、会话凭证或其他敏感数据，尝试冒用用户身份。
一旦电脑确认遭此类木马入侵，用户应将电脑中曾保存或输入的重要密码及敏感资料视为可能已经泄露，并尽快采取补救措施。
电脑疑遭入侵应断网、重装系统及更换密码
针对类似事件，陈国豪建议，若怀疑或确认Windows电脑遭木马入侵，应采取以下措施：
一、立即断开网络。
关闭Wi-Fi或拔除网线，减少受感染电脑继续与外部服务器通信的风险。若涉及重要工作或机构设备，也应尽快通知相关资讯科技及网络安全人员。
二、谨慎备份重要个人文件。
优先保存必要的Word、Excel、PDF、照片及其他无法重新取得的资料，但不要将整个系统、可疑程序及不明文件一并复制。备份资料应先经过安全检查，必要时寻求专业技术人员协助。
三、彻底清除受感染系统并重新安装Windows。
陈国豪认为，对于已经确认遭此类木马入侵的电脑，干净重装系统是较可靠的处理方式之一。
用户应使用可信任的Windows安装媒体，妥善处理受感染系统分区，并确认没有遗漏其他可能受影响的组件。若不熟悉相关操作，建议交由具备经验的电脑技术人员处理，而非仅删除可疑软件或执行一般系统修复。
四、通过另一台安全设备更换密码。
应优先处理电子邮件、Google、Microsoft、Facebook、WhatsApp及网银等重要账号，并注销不认识的登录会话、检查账号恢复设置及启用双重验证。
若涉及银行资料或发现异常交易，应立即联系银行。电脑重装并不会自动撤销攻击者此前可能取得的密码或登录凭证。
五、检查备份资料及重新登录的设备。
重要文件应在经过安全扫描后才复制回新系统；重新安装系统后，也应确认相关账号没有异常登录，并避免重新安装来源不明的软件。
AI协助还原攻击过程仍须专业取证验证
陈国豪表示，这次调查尝试利用Claude AI协助分析系统记录、ZIP压缩文件、VHDX虚拟硬盘、可疑DLL文件、浏览器资料及外部服务器连接记录，从而整理出攻击者可能采取的行动及相关时间线。
他指出，AI能够协助整理大量技术资料、辨识可疑迹象及梳理事件发展，为处理复杂的网络安全事件提供辅助。
不过，AI分析并不代表已经完整识别所有恶意功能，也不能取代专业数字取证及系统安全检查。此次调查主要采用只读检查及隔离环境中的静态分析，相关结论仍须结合完整证据审慎判断。
陈国豪提醒，用户最需要警惕的，是电脑遭入侵后未必会立即出现明显症状。电脑可能继续正常开机、浏览网页及处理工作，但敏感资料却可能在后台被收集和传送。
他呼吁公众，收到WhatsApp传来的压缩文件，即使发送者是亲友，也应先通过其他方式确认文件来源；尤其是要求在Windows电脑上打开、外观类似财务报表或其他重要文件的附件，更应提高警觉。
相关文章
教长：明年启动优质中六学院计划 确保成大马教育文凭生首选
小儿子“不给钱威胁去借” 向太悔慈母多败儿
评论 (0)