播放軟體 KMPlayer 更新機制異常，請各單位注意並提高警覺

[心靈捕手]

技服中心接獲外部情資，播放軟體KMPlayer更新機制異常，駭客疑似透過播放軟體KMPlayer更新機制散播惡意程式。
KMPlayer執行後，若出現版本3.7.0.87更新訊息，將連線至http://cdn.kmplayer.com/player/update下載偽冒更新程式(KMP_3.7.0.87.exe)。
偽冒更新程式執行後，並不會變更原KMPlayer版本，但將植入惡意程式於下述資料夾(預設隱藏)：

Windows XP
C:\Documents and Settings\All Users\OleView\ACLUI.DLL
C:\Documents and Settings\All Users\OleView\ACLUI.DLL.UI
C:\Documents and Settings\All Users\OleView\OleView.exe

Windows 7
C:\ProgramData\OleView\ACLUI.DLL
C:\ProgramData\OleView\ACLUI.DLL.UI
C:\ProgramData\OleView\OleView.exe


目前已知受感染電腦會連線以下中繼站:
-pen.abacocafe.com
-pens.abacocafe.com
-cdn.abacocafe.com
-vpen.abacocafe.com

KMPlayer源自韓國的一套播放軟體，最新版本為3.6.0.87，支援各種常見的影音檔播放，且內建多國語系，由於使用情況相當普遍，影響範圍與衝擊不容小覷。請各機關立即清查機關內是否有連線上述中繼站的行為，若發現中繼站連線或異常行為，請立即至通報應變網站（https://www.ncert.nat.gov.tw）進行資安事故通報。

--
資料來源：
https://www.ncert.nat.gov.tw/NoticeAna/ ... -2013-0018