网络安全公司Securonix就针对欧洲酒店及旅游行业的新型恶意软件活动"PHALT#BLYX"发出警告。此次攻击的特点在于，其摒弃了传统的恶意软件下载方式，转而利用社会工程学技术并滥用Windows正常工具，诱使用户直接执行恶意代码。
攻击主要始于旅游旺季时冒充预订取消的钓鱼邮件。邮件中附有高额费用，以此对受害者施加心理压力，点击正文链接后，用户将被导向一个与真实网站几乎无法区分的伪造Booking.com网站。该伪造网站会诱使用户经历错误信息和"蓝屏"提示，随后引导他们将预先复制到剪贴板中的命令粘贴到Windows运行窗口中。
这种被称为"ClickFix"的策略，旨在规避自动化安全解决方案，转而基于人的行为来执行恶意软件。插入剪贴板的命令会利用微软的正常实用程序"MSBuild.exe"和PowerShell启动多阶段感染逻辑，并最终成功安装远程访问木马DCRat。
感染之后，恶意软件会禁用Windows Defender并添加持久驻留系统的设置，从而能够在受感染设备上执行键盘输入记录、命令执行乃至分发额外恶意软件等操作。Securonix补充说明，在此过程中还利用了进程空洞化技术来伪装系统进程的完整性。
虽然具体幕后黑手尚未查明，但基于恶意软件内部分调试信息以及攻击基础设施中发现的线索，存在与俄语黑客组织关联的可能性。
截至目前，攻击仅针对欧洲酒店旅游业，但Securonix警告称，此次攻击中使用的技术完全可能扩展到其他行业领域。Securonix研究人员强调："仅依赖基于文件的检测无法阻止多阶段感染"，"必须转向分析正常进程行为及追踪可疑执行流程的安全策略。"
