近期资安事故频传，其中一种假冒浏览器更新的恶意攻击手法再度浮现，这次锁定特定网站，引诱使用者中招。

资安公司Sucuri揭露，从今年4月底开始，骇客利用名为Hustle的WordPress外挂程式发动攻击。这款外挂主要用于电子邮件行销和弹出式广告视窗的运营。

骇客在WordPress网站中植入恶意程式码，使用者一旦进入受感染的网站，便会看到一个假冒的浏览器更新警告，声称Chrome有漏洞，要求更新。一旦使用者点击，便会被重定向至恶意网站，下载名为GoogleChrome-x86.msix的恶意软体。即便使用其他浏览器如Firefox、Opera或Edge，也会看到相同的弹窗。

依据骇客所使用的网域，此次攻击行动可能最早在今年3月中旬展开。研究人员利用PublicWWW搜寻引擎发现，已有341个网站遭到攻击者入侵。

值得注意的是，这次攻击并非利用Hustle的漏洞，而是骇客已经拥有WordPress的管理权限，并藉此植入恶意程式码。攻击者刻意选用合法外挂程式，目的是逃避静态扫描工具的检测，资安专家唿吁网站管理者保持警觉，避免被攻击。