文章总结： Cisco披露UAT-11795团伙利用仿冒Zoom等安装包投放恶意程序窃取凭据。文章指出风险源于用户压力下脱离官方渠道下载，而非厂商被攻破。建议企业建立官方软件目录与统一分发机制，将下载转为受管流程，鼓励误装后及时上报，通过优化流程替代单纯意识说教以守住终端安全底线。 综合评分： 90 文章分类： 威胁情报,恶意软件,供应链安全,安全意识,社会工程学

不是 Zoom 出了问题：危险的是你下载的那一个安装包

原创

tcode tcode

字节脉搏实验室

2026年7月17日 15:42 北京

在小说阅读器读本章

去阅读

    会议还有五分钟开始，电脑却提示客户端需要更新。搜索结果里出现一个“高速下载”“免登录最新版”的页面，文件名看起来也没什么奇怪。用户的目标很简单：尽快进会议。

    攻击者最喜欢的，正是这种没有人愿意多花两分钟核对的时刻。

    7 月 16 日，Cisco Talos 公开披露一轮由其追踪为 UAT-11795 的活动。研究人员称，该团伙以协作和开发类常用软件的仿冒或被篡改安装包作为诱饵，投放用于窃取凭据与加密资产信息的恶意组件。BleepingComputer 对这一披露作了独立报道，并点出了 WebEx、Zoom、DBeaver 等被用作诱饵的软件名称。

    标题里最容易被误读的一点，是“Zoom 或 WebEx 被木马化”。更准确的说法应该是：攻击者利用了人们对这些品牌和安装流程的信任，并不等于这些厂商的官方安装包本身已经被攻破。

    软件供应链的最后一公里，常常是人的临时决定

    我们谈软件供应链安全时，脑海里往往是依赖库、签名、构建服务器和代码仓库。它们当然重要。但对大量普通员工来说，供应链真正的最后一公里，发生在浏览器搜索框和下载按钮之间。

    一个官方下载地址被广告淹没，一个旧书签失效，一个同事把文件转发到聊天群，或者一段“客服远程协助”的话术，都可能把原本正常的安装需求带离官方渠道。用户看到的是熟悉的 Logo、熟悉的安装向导和熟悉的产品名；安全团队看到的，却是一个来源不明、权限极高的可执行文件进入终端。

    这类风险之所以难缠，不在于每个人都不会识别假页面，而在于下载软件往往发生在压力之下：要开会、要修故障、要临时演示、要安装一个插件。速度要求越高，核验动作越容易被跳过。

    所以，单纯要求员工“提高警惕”是不够的。更可靠的做法，是让正确路径比搜索和私下转发更快。

    一个安装包，为什么能成为账号安全问题

    Talos 的研究显示，这轮活动并不只瞄准某一个软件类别，而是借用多个常见应用的外观来扩大诱饵覆盖面。对使用者而言，风险也不只限于“软件装坏了”。一旦终端被植入恶意组件，浏览器登录状态、企业凭据、本地文件和后续网络访问都可能成为攻击者关注的对象。

    这意味着软件来源治理和身份安全其实是一件事。

    过去，企业可能把“安装未经批准的软件”视为 IT 资产管理问题；今天，它更应被视为身份与数据保护问题。员工不是因为故意违反政策才下载了风险文件，往往是因为官方路径不够清晰、权限申请过慢、会议工具更新太频繁，才选择了最快的办法。

    安全策略如果只会说“不允许”，员工就会在压力下寻找替代路径。策略真正应该提供的是：官方软件下载入口在哪里、设备上如何一键更新、紧急安装谁来审批、发现可疑文件后该联系谁。

    把“去哪下载”变成组织流程，而不是个人记忆

    对个人用户，最简单的规则可以非常明确：协作、远程支持、浏览器、密码管理器和开发工具，只从厂商官网、系统自带应用商店或公司软件中心安装。不要把搜索结果顶部、群聊里的压缩包、网盘分享链接和所谓“加速下载站”默认当作可信来源。

    对企业来说，可以把这条规则做得更省心。

    建立一个看得见的官方软件目录。 在内部门户、设备桌面或 IT 服务台中列出常用软件的官方下载与升级入口。员工遇到问题时，第一反应应是打开目录，而不是重新搜索。

    让受管设备承担更新工作。 对高频协作和安全类软件，尽量通过设备管理、应用商店或企业软件分发统一部署。这样不仅减少员工手动下载，也便于确认版本与覆盖范围。

    把例外安装变成可追踪流程。 新工具确实会不断出现，但临时例外不应变成永久盲区。申请、审批、安装来源与软件用途应该留下简单记录，安全团队才知道哪些终端需要重点关注。

    在高风险时刻提供“快速求助”。 比如会议前十分钟、远程支持中、设备重装后，这些场景最适合提供一个明确的 IT 支持入口。安全设计不是让员工在最忙的时候背更多规则，而是让他们能在最快路径上得到正确帮助。

    如果已经下载或运行了可疑文件，先处理影响，再处理尴尬

    不少人发现自己可能下错软件时，第一反应是悄悄卸载，担心被追责。但从响应角度看，越早报告，越容易缩小影响。

    更稳妥的顺序是：停止继续使用该文件或设备进行敏感操作；通过公司指定渠道联系 IT 或安全团队；记录大致下载时间、来源页面和文件名；按组织流程进行隔离、账号检查和凭据处理。不要自行反复运行、分享或转发可疑安装包，也不要因为“看上去安装成功了”就认定没有风险。

    这不是把员工当成安全问题的制造者，而是把员工变成发现问题最快的传感器。

    信息边界

    已确认的公开信息：Cisco Talos 在 7 月 16 日披露了 UAT-11795 使用仿冒或被篡改安装包进行投放的活动；BleepingComputer 对该研究作了独立报道。

    本文的判断：软件来源是安全控制的一部分。真正有效的组织治理，不是让每个人记住所有钓鱼特征，而是让官方安装路径永远比非官方路径更容易、更快。

结语

    “下载一个会议客户端”看起来是最普通的操作，却可能决定一个终端最初信任了谁。

    把软件下载从临时搜索变成受管流程，并不浪漫，但它能在最匆忙的时候替员工守住一条底线：熟悉的软件名，不等于熟悉的文件来源。

参考来源

• Cisco Talos：UAT-11795 deploys novel Starland RAT and bespoke WLDR C2 implant in financially motivated campaign（2026-07-16 06:00）

• BleepingComputer：Russian hackers trojanize WebEx, Zoom apps to push Starland malware（2026-07-16 06:19 AM）

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：字节脉搏实验室 tcode tcode《不是 Zoom 出了问题：危险的是你下载的那一个安装包》