木馬文件藉助RTLO字符傳播 哈勃分析系統提醒小心辨識-木馬文件...

特殊字符不僅會被用來開玩笑，還有可能帶來嚴重的安全問題。近期，騰訊電腦管家旗下哈勃分析系統發現，有不法分子利用一種名為「RTLO」的特殊字符，將帶有木馬文件的名字進行倒序排列，誘使不明真相的用戶下載運行，達到竊取用戶隱私的目的。

（哈勃分析系統）

據了解，「RTLO」字符全名為「RIGHT-TO-LEFTOVERRIDE」，是一個不可顯示的控制類字符，其本質是unicode 字符。「RTLO」字符可使電腦將任意語言的文字內容按倒序排列，最初是用來支持一些從右往左寫的語言的文字，比如阿拉伯語，希伯來語。由於它可以重新排列字符的特性，會被不法分子利用從而達到欺騙目標，使得用戶運行某些具有危害性的可執行文件。例如，通過將Windows自帶的記事本notepad.exe程序重命名，先插入「RTLO」字符，加上「txt.exe」，最後就能成功偽裝出一個「exe.txt」的普通文檔，但文件仍是exe可執行文件。

(使用「RTLO」字符調整文件名)

眾所周知，Windows作業系統中，擴展名表明了文件的類型，在「文件夾選項」中去掉「隱藏已知文件類型的擴展名」前面的選中狀態後，就可以查看最後一個「.」字符後面的擴展名。利用特殊字符，如「RTLO」字符就能形成對文件名稱的幹擾，將惡意執行文件掩飾成無危險的可執行文件。此時，用戶可在資源管理器中選擇查看詳細信息，這樣就能夠從「類型」一列中看出文件的真實類型。此外，有一些惡意木馬也利用了這種手法，通過郵件發送類似名稱的附件，誘導用戶雙擊打開和運行，因此，遇到不明來源的郵件一定要提高警惕。

除了Windows資源管理器之外，瀏覽器也可能遭受類似的惡意攻擊，其中不乏Firefox這樣的大牌瀏覽器。此前FreeBuf.com曾報導，Android版Firefox上出現了一個漏洞，也是利用了這樣的特殊字符，使得用戶訪問的網站和地址欄上顯示的網站產生差異。不法分子可以通過這種方式製作假冒google的釣魚網站，並在Firefox地址欄中顯示正確的官方地址，誘導眾多用戶訪問，最終達到竊取用戶隱私的目的。目前，此漏洞已經在最新版的瀏覽器中被修復。

哈勃分析系統提醒，偽裝成官方網站，通過刷搜索排名等方式誘導用戶進入仿冒網站，並提供帶木馬的安裝包，已成為木馬精準傳播的一大途徑，建議用戶注意分辨官網域名。此外，不法分子也會使用各種各樣的招數進行惡意攻擊，一些網上流傳的防護手段，在特定的條件下也會失效，因此，最好還是使用騰訊電腦管家等安全類軟體，對作業系統和瀏覽器進行防護。對於不放心的文件，可以上傳到哈勃分析系統（https://habo.qq.com/）進行分析。