2026-10-16 06:36:42 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

窃密木马玩出新花样，Chrome NMH持久化机制深度探秘

原创

Kit Chung
Kit Chung

安全圈动向

2026年9月30日 08:00
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

大家好，最近我在追踪最新的安全态势时，发现了一个叫 Lunex (也被称为 Psychedelic Stealer) 的新型窃密木马。老实说，一开始看到“窃密木马”四个字，我心里是有点不屑的——不就是偷密码、扒Cookie老三样吗？

但深入分析了Ontinue团队的最新技术报告后，我直呼好家伙！这玩意儿不仅把 BYOVD（自带脆弱驱动） 这种高级APT常用的免杀套路玩得贼溜，更是把 Chrome原生消息主机（NMH） 玩出了一套极度隐蔽的持久化“骚操作”。今天咱们就来硬核拆解一下，看看现在的黑产大佬们技术栈都卷到什么程度了。

1. 骗局入口：ClickFix与UAC绕过

这次攻击的切入点非常有迷惑性。攻击者黑掉了一堆乌克兰的合法网站（包括诊所、书店、车行等），在里面注入了恶意的 iframe 元素。当你访问时，会弹出一个极其逼真的 Cloudflare 假验证码页面（也就是最近泛滥的 ClickFix 技术）。

一旦你中招，系统就会静默拉取一个恶意的 MSI 安装包。这个包会释放出一个名为 LunexLoader 的加载器。为了拿到高权限，它直接调用了经典的 CMSTPLUA COM 对象 来绕过 Windows 的用户账户控制。这一步算是常规操作，但接下来的动作就非常亮眼了。

2. 降维打击：BYOVD 驱动利用致盲杀软

通常窃密木马拿完数据就跑，但 Lunex 为了确保后续的木马本体（Psychedelic Stealer）能安稳运行，动用了 BYOVD (Bring Your Own Vulnerable Driver) 技术。这种技术以前多见于勒索软件，用在窃密木马的早期阶段可谓是“杀鸡用牛刀”。

技术硬核剖析：
Lunex 随身带了一个存在已知漏洞的 AMD Radeon 软件内核态驱动（PDFWKRNL.sys）。这个驱动带有 CVE-2023-20598 漏洞。木马利用该漏洞直接将权限提升到内核级。

最绝的是它的对抗策略：它并没有粗暴地杀掉安全软件的进程，而是通过 PDB引导的内核回调清零 (PDB-guided kernel callback zeroing)，直接把安全监控给“蒙上”了。你的 EDR 和杀软还在后台欢快地跑着，但其实已经成了瞎子。而且据验证，目前微软的脆弱驱动黑名单和 HVCI 都拦不住这个特定变种的加载，防护缺口依然存在！

3. 核心大招：基于 Chrome NMH 的幽灵后门

杀软被废后，木马本体开始疯狂收割：7种 Chromium 内核浏览器、5款桌面加密钱包（Bitcoin Core 等）、4款浏览器插件钱包（MetaMask 等），能偷的全偷走。但它的持久化驻留机制，才是真正的教科书级别。

Lunex 搞了一个名为 psychedelicloveUtils 的隐藏计划任务，最核心的是它注册了一个 Chrome 原生消息主机。

什么是 NMH 机制？

搞过 Chrome 插件开发的兄弟都知道，NMH 本来是 Chrome 用来让插件和本地操作系统程序进行安全通信的官方协议。结果 Lunex 直接“李代桃僵”，把这个合法通道变成了它的远控后门！

它的 NMH 宿主竟然是一个硬编码在 .rdata 节中的 13,200字节的 PowerShell 脚本。这个脚本通过标准输入输出（stdin/stdout）实现了 Chrome 原生消息协议，并且直接运行在 Chrome 的进程上下文中。这意味着什么？只要你打开浏览器，后门就活了！就算你把木马的 EXE 文件删了、系统重启了，只要 NMH 配置还在，浏览器一启动它照样满血复活。

这个后门能干啥？

这个极度隐蔽的 PowerShell 脚本支持 6 个底层文件系统操作：

list_drives

遍历 C 到 Z 的所有盘符。
* list_dir

列出目录内容及文件大小。
* read_file

分块读取任意文件（最高支持提取 524MB 的大文件）。
* write

向任意路径写入任意数据。
* download

将系统文件外传。
* run

执行任意程序（随时可以下发新的勒索或远控木马）。

4. 插件投毒与背后的 MaaS 帝国

为了做到全方位监控，Lunex 还会篡改 Chrome Secure Preferences，强行注入一个恶意扩展。这个扩展申请的权限极其夸张：Cookie、历史记录、书签、存储、代理、脚本，甚至所有的 HTTP/HTTPS 流量它都要管。一旦中招，你在浏览器里基本就处于“裸奔”状态了。

最后扒一下它的背景：Lunex 实际上是一个庞大的 MaaS（恶意软件即服务）平台，背后大概率是一个俄语开发团队。自今年6月以来，它在全球已经部署了 28 个 C2 面板，横跨 13 个国家。部分设在土耳其的面板还解析到了诸如山姆会员店、WhatsApp 相关的钓鱼域名，说明这帮人不仅卖窃密木马，还在大搞品牌仿冒钓鱼。