微软在本月的例行更新（Patch Tuesday）其中修补MSHTML平台欺骗漏洞CVE-2024-38112，并表示这项漏洞已被用于攻击行动，在通报此事的安全企业Check Point透露黑客如何利用这项漏洞后，一个多礼拜之后的现在，有其他安全企业公布新的调查结果。

安全企业趋势科技指出，他们旗下的漏洞悬赏项目Zero Day Initiative（ZDI）也在今年5月向微软通报CVE-2024-38112遭到利用的情况，锁定北美、欧洲、东南亚的APT黑客组织Void Banshee，从今年1月开始发动零时差漏洞攻击，并在受害计算机植入盗取信息软件Atlantida。

针对这些黑客作案的方式，研究人员指出对方滥用网络捷径文件（.URL）、统一资源识别码（URI），以及微软的通信协议管理工具（Protocol Handlers），而能访问原本窗口操作系统已停用的Internet Explorer（IE），其中一种被利用的文件格式是网页封保存MHTML。

黑客先是通过网络钓鱼手法，引诱用户访问设置在文件共享网站的钓鱼连接，下载ZIP文件并打开内置的网络捷径文件触发漏洞，启动IE。接着，用户将被重定向被黑客入侵的网站，下载恶意的HTML应用程序文件（.HTA），而这个文件在文件扩展名前加入26个空格，让用户误以为是PDF文件。

附带一提的是，上述的URL文件包含MHTML通信协议管理工具，并搭配x-usc!指令，而能让计算机直接启动原本被停用、应通过沙箱环境执行的IE。

究竟黑客如何接触攻击目标？研究人员提及，这些黑客在网络图书馆、云计算分享网站、Discord等多种渠道，传播内有PDF格式书籍的ZIP压缩文件，这些书籍包含了医学教科书及参考数据，这代表攻击目标主要是会使用相关数据的专业人员或学生。但在黑客提供的各式PDF文件里，也有混杂佯装成PDF文件的网络捷径文件，引诱用户上当。

一旦用户依照指示允许IE打开前述的HTA文件，计算机就会执行VBS脚本，其用途是木马程序下载工具，接着计算机就会依次下载恶意PowerShell脚本、.NET木马下载工具并执行，最终解开Dount Loader恶意程序加载工具的Shell Code，通过先前被篡改的.NET组件注册工具RegAsm.exe处理程序，于受害计算机的内存内加载盗取信息软件Atlantida。

针对这款盗取信息软件的来历，研究人员指出对方是以开源的NecroStealer和PredatorTheStealer为基础打造，能从应用程序、加密货币钱包、浏览器收集个人信息，并在受害计算机的桌面窃取特定格式的文件，再者，该盗取信息软件也能截取计算机屏幕画面，以及收集完整的系统资讯，最终打包成ZIP文件回传攻击者。