伪装成国税厅通知书的恶意软件在国内扩散，据悉该软件与朝鲜黑客组织有关联，安全当局和个人用户均需特别警惕。
2日据信息通信技术行业消息，国内安全公司ESTsecurity安全应对中心发布分析报告，公布了疑似由朝鲜侦察总局下属黑客组织"金淑姬"制作或参与运营的恶意程序"金正RAT"的最新传播案例。经确认，该恶意软件以Windows文件格式之一的hta（HTML应用程序）形式传播，文件名伪装为"国税通知书_pdf.zip"。
攻击使用的hta文件具有可通过互联网在用户计算机上直接执行的特性。攻击者利用此特性绕过Windows的自动运行功能，使用户在无需额外授权的情况下下载恶意软件。实际传播主要通过电子邮件进行，压缩包内含有名为"国税通知书.pdf"的快捷方式文件，其外观类似可执行文件。用户点击后将访问特定URL下载恶意hta文件，运行该文件则会同时安装诱饵文件和真正的恶意可执行文件。
本次攻击的特点在于其安全规避功能。据ESTsecurity分析结果显示，金正RAT会先检测用户计算机安装的安全程序是否激活，再根据状态选择相应攻击方式。例如，安全程序未激活时下载攻击性更强的文件，而在安全功能运行的环境中则采用规避检测的旁路方式。以此方式收集的信息会定期传输至外部服务器。
ESTsecurity特别指出，该恶意软件是针对国内用户精心制作的。选择国税厅通知书格式作为伪装，以及利用Windows安全漏洞的结构，均表明攻击者已预先掌握国内用户的系统环境。通常国内存在较多旧版操作系统或安全更新滞后的环境，此类定向攻击可能更易生效。
安全当局建议用户始终保持Windows及其他软件为最新版本，并在文件资源管理器设置中启用扩展名显示功能。同时强调切勿打开来源不明的压缩文件或伪装成PDF的可执行文件，若发现可疑情况应立即寻求安全专家协助。
此类网络攻击的精准度正持续提升，未来伪装成金融机构通知书或公共机构文件的类似案例很可能进一步增加。当前正是强化实时安全响应体系与提升用户安全意识的关键时期。
