惡意軟件家族真是花樣百出，現如今，又出現了一個新的惡意軟件–NitlovePoS，它可以捕獲和跟蹤支付卡行為，并掃描已經感染的機器。

[[135173]]

新瓶裝舊酒，釣魚帶來的POS惡意軟件

FireEye宣稱，黑客們搞了一個新花樣來釣魚，他們使用帶有敏感字眼的郵件主題來吸引人們的眼球：如找工作、空缺職位、實習、招聘、簡歷之類云云。這些釣魚郵件從5月20號的表白日開始，向眾多屌絲的郵箱批量轟炸。在郵件里可能會附帶一個CV_XXXX(四位數字)格式的doc文件，或者My_Resume_xxxx(四位數字)的doc文件。這類文檔乍一看有點像投來的簡歷，其實它只是宏病毒。

如果受害者打開了該文檔，并啟用了宏。這時，宏病毒會自動下載執行一個來自80.242.123.155/exe/dro.exe的惡意exe文件。當下，這場釣魚活動還在持續進行，其中附帶下載的惡意軟件也在不斷的更新。

NitlovePoS的運行和免殺

FireEye的專家稱：

“為了欺騙受害人打開文檔，該文檔會偽裝自己為‘保護文檔(protected document)’。

然而我們沒有被表象所迷惑，而是把關注重點更多的放在了‘pos.exe’上，也就是NitlovePoS，大家都懷疑它是針對POS機的病毒。我們推測，一旦攻擊者選定了受害人，它就可以遠程控制受害人機器下載POS機病毒。我們在監測時，發現在眾多的exe下載鏈接中，只有三條鏈接是下載的pos.exe。”

機器被感染后，惡意軟件會把自己添加到注冊表啟動項里。NitlovePoS運行時，需使用“-”加參數才能正常運行，否則它不會有任何惡意行為。這個特殊的性能可以幫助它繞過一些簡單的安全檢測，特別是那些針對自動化檢查的安全軟件。

FireEye表示：

“如果給NitlovePoS設置了正確的參數，NitlovePoS會在內存中解碼，并開始尋找支付卡相關的數據。如果沒有成功，它會休眠五分鐘，然后繼續開始嘗試。”

同類POS惡意軟件的前景

NitlovePoS軟件不算特別，自2015年開始已經出現了大量POS惡意軟件，比如Punkey和FighterPOS。

FireEye的專家提醒說：

“咱們的讀者需要知道的是，我們已經有不少辦法來保護POS機環境。比如說下一代防火墻，它就使用了網絡隔離技術。

下一代防火墻(NGFW)的關鍵優勢在于，它們提供了網絡隔離，將應用服務器和數據根據不同的風險點和安全級別進行劃分并做嚴密的訪問控制。”

隨著POS惡意軟件的散布，它們也更加容易被發現和檢測。另外，隨著新技術的發展，就算不同惡意軟件有著一定的相似性，想要檢測出新的變種仍然是比較困難的。所以，網絡犯罪卻由此也有了新的希望，功能相似的新版本POS惡意軟件也會繼續出現，以滿足網絡犯罪市場的需求。