?攻擊者越來越多地模仿 Skype、Adobe Reader 和 VLC Player 等應用程序來濫用用戶的信任來增加社會工程攻擊成功的可能性。

VirusTotal 的一項分析顯示，其他大多數通過圖標模擬的合法應用程序包括 7-Zip、TeamViewer、CCleaner、Microsoft Edge、Steam、Zoom 和 WhatsApp。

VirusTotal在周二的一份報告中說：“我們見過的最簡單的社會工程技巧之一就是讓惡意軟件樣本看起來是合法的程序。這些程序的圖標是用來說服受害者這些程序是合法的一個關鍵作用。”

毫不奇怪，攻擊者采用各種方法通過誘使不知情的用戶下載和運行看似無害的可執行文件來破壞客戶端。

反過來，這主要是利用真正的域來繞過基于 IP 的防火墻防御來實現的。一些最常被濫用的域名是 discordapp[.]com、squarespace[.]com、amazonaws[.]com、mediafire[.]com 和 qq[.]com。

總共檢測到不少于 250 萬個從屬于 Alexa 前 1000 個網站的 101 個域下載的可疑文件。

Discord 的濫用已得到充分證明，該平臺的內容交付網絡 (CDN) 成為與 Telegram 一起托管惡意軟件的沃土，同時還為“攻擊者提供了完美的通信中心”。

另一種經常使用的技術是使用從其他軟件制造商那里竊取的有效證書對惡意軟件進行簽名的做法。該惡意軟件掃描服務表示，自 2021 年 1 月以來，它發現了超過一百萬個惡意樣本，其中 87% 的惡意樣本在首次上傳到其數據庫時具有合法簽名。

VirusTotal 表示，自 2020 年 1 月以來，它還發現了 1,816 個樣本，這些樣本通過將惡意軟件打包在其他流行軟件（如 Google Chrome、Malwarebytes、Zoom、Brave、Mozilla Firefox 和 Proton VPN）的安裝程序中，偽裝成合法軟件。

當攻擊者設法闖入合法軟件的更新服務器或未經授權訪問源代碼時，這種分發方法也可能導致供應鏈，從而有可能以木馬二進制文件的形式潛入惡意軟件。

或者，合法的安裝程序與帶有惡意軟件的文件一起打包在壓縮文件中，在一種情況下，包括合法的 Proton VPN 安裝程序和安裝 Jigsaw 勒索軟件的惡意軟件。

那不是全部。第三種方法雖然更復雜，但需要將合法安裝程序作為可移植可執行資源合并到惡意樣本中，以便在運行惡意軟件時也執行安裝程序，從而產生軟件按預期工作的錯覺。

研究人員說：“當把這些技術作為一個整體考慮時，可以得出結論，攻擊者在短期和中期濫用（如被盜證書）既有機會主義因素，也有慣常的（最有可能的）自動化過程，攻擊者的目標是以不同的方式直觀地復制應用程序。”