GitHub惊现“李鬼”项目  免费开源版Ps暗藏恶意链接！

原创

火绒安全
火绒安全

火绒安全

2026年10月19日 15:21
北京

去阅读

近期，火绒安全实验室在日常监测中发现，有攻击者假借开源图像编辑项目PhotoCraft之名，分发携带恶意程序的Windows安装包。该程序通过多层代码保护隐藏真实功能，并能够进一步获取其他恶意组件。

经火绒安全工程师分析发现，相关组件具有数字钱包信息窃取、转账地址替换等功能，可能对用户的账号及数字资产安全造成威胁。目前，火绒安全产品已实现对该行为的拦截与查杀。

• 查杀图 -

PART01

背景

Photoshop是众多设计师、摄影爱好者及普通用户所熟知的图像处理软件。近期，一款名为PhotoCraft的开源图像编辑项目因其小巧、免费的特性而受到关注。

• PhotoCraft使用图例 -

然而，一些不法分子也盯上了用户对免费软件的需求。火绒安全实验室在溯源分析中发现，GitHub上出现了一个名为PhotocraftAdobe/PhotoCraft-Photoshop的第三方仓库，其名称与PhotoCraft项目高度相似，并提供了标注为v0.5.0的Windows便携版压缩包，容易让用户误以为这是官方发布的软件下载地址。

• PhotoCraft假冒项目地址 -

用户在GitHub下载开源软件时，可以通过一些简单的方法初步判断项目是否可信。例如，查看项目的Star数量、创建时间、历史提交记录，以及开发者的个人主页。通常来说，较为成熟的开源项目会积累一定的关注度和开发记录，而仿冒仓库可能存在Star数量较少、创建时间较短、提交记录异常等问题。

• GitHub伪冒作者主页与头像 -

以此次发现的仿冒仓库为例，其作者主页仅有一次代码提交记录，且头像疑似由AI生成，缺少能够证明其与原项目存在关联的开发记录。这些异常现象虽然不能单独作为恶意判定依据，但结合仓库名称刻意模仿官方项目、提供未经核实的软件下载包等情况，其可信度明显存疑。

因此，火绒安全实验室建议用户下载开源软件时，要注意以下事项：

01

官方渠道下载：下载开源软件优先从官网跳转GitHub，不随便下第三方便携版、打包版

02

核验仓库：GitHub项目留意Star、创建时间、提交记录，新仓库、极少提交需警惕

03

保护数字资产：加密货币转账，务必核对粘贴后的收款地址，防范剪贴板劫持

04

保持安全防护：日常保持安全软件实时防护开启、定期全盘查杀；若运行过可疑程序，需全盘扫描并检查自启动项

PART02

流程图

PART03

样本分析

火绒安全工程师对仿冒PhotoCraft安装包进行分析发现，该程序采用NSIS打包，内部包含Electron程序及加密载荷。安装包通过脚本恢复并启动隐藏程序，随后获取多个功能不同的恶意组件，涉及信息窃取、数字货币收款地址替换、代理转发等行为。

安装包中的JavaScript脚本会读取内置加密数据，通过AES解密恢复出Windows可执行文件，并将其写入本地后在后台启动。相关代码还会延迟删除部分临时文件，清理加载过程中产生的痕迹。

• 隐藏程序的解密与启动逻辑 -

启动隐藏程序前，脚本会检查计算机内存、处理器、用户名、计算机名称及部分虚拟化环境特征，并据此决定是否继续加载。

• 运行环境检查代码 -

脚本会调用PowerShell，尝试将相关路径加入Windows Defender排除项，以降低隐藏程序被检测的可能。

• 添加Windows Defender排除项的代码 -

第一阶段程序使用虚拟化、控制流混淆及完整性校验保护代码。分析确认其中存在两套不同的虚拟机取指逻辑，其恶意行为包括针对Steam的信息收集代码，读取本地配置中的账号信息和加密记录，尝试调用Windows数据保护接口解密。取得的结果会交给统一的数据提交函数，导致账号相关信息泄露。

• Steam本地数据读取与解密代码 -

第一阶段程序能够解析服务端下发的下载任务，将指定文件保存到本地并启动。调查中取得的任务包含controller.exe的下载地址；该程序进一步读取外部配置，获取后续组件，并具有下载、落地和后台启动代码，使恶意功能可以继续扩展。

• 下载函数 -

• 第一阶段下载的链接 -

钱包窃密组件会按内置目标表，查找桌面钱包及浏览器扩展的相关文件。程序将命中的文件复制到临时目录，打包为ZIP后交给上传函数，涉及Exodus、Electrum、Ledger Live、Trezor Suite等客户端的数据目录。

• 钱包文件收集、打包与提交代码 -

该组件通过Windows UI Automation判断当前控件是否与密码输入有关，再结合键盘钩子记录输入内容。当用户在符合条件的控件中按下Ctrl+V时，程序还会读取粘贴内容，并将记录交给上报函数。

• 密码输入及粘贴内容捕获代码 -

程序会监视指定的钱包进程，在通信及窗口状态满足条件时，隐藏原窗口并尝试结束目标进程及其直接子进程。随后，它生成嵌入远程页面的本地HTML，使用Chrome或Edge的应用窗口模式打开，并调整窗口标题、位置和尺寸，伪装成钱包界面。

• 仿冒钱包窗口的生成与启动代码 -

访问相关域名取得针对Exodus、Ledger Live 和 Trezor Suite的仿冒页面。相关页面通过虚假的密码错误或设备异常提示，引导用户输入密码、PIN码、钱包恢复词及附加口令，并包含向远程服务器提交这些信息的代码。

攻击者试图诱导用户主动交出钱包恢复信息：

• 仿冒钱包页面收集 -

• 提交敏感信息 -

剪贴板组件会监听内容变化，识别其中符合规则的数字货币地址，并获取相应的替换地址，再将新文本写回剪贴板。部分类型可向远程服务查询替换地址，请求失败时还可使用内置地址。

如果用户转账时只核对复制前的地址，没有检查粘贴后的收款信息，则会将资金转入攻击者指定的账户。

• 收款地址替换与剪贴板写回代码 -

代理组件通过WebSocket接收控制数据，解析SOCKS5连接请求，根据指定的主机和端口建立TCP连接，并双向转发网络数据。该能力可能使受害电脑成为远程代理出口，占用用户的网络及连接资源。

• SOCKS5目标连接与数据转发代码 -

钱包窃密组件会尝试将自身复制到用户目录，并创建名为UpdateHost\_1117的计划任务。若计划任务设置失败，则尝试写入当前用户的Run注册表项，以便后续继续启动。

• Run自启动项写入代码 -

钱包窃密组件还会定时请求更新。

• 更新文件检查、写入与启动代码 -

另一组件包含矿工程序、驱动及相关管理逻辑，具有部署和管理挖矿程序的能力。未经用户同意运行此类程序，可能占用计算资源，造成电脑卡顿、发热及额外耗电。

矿工配置：

-a rx/0 -o pool.supportxmr.com:443 --tls -u 4ArwkWZHha7etJfjsGhYQZGikpJiGBHW27c4L9CXkcJY96ymzL27rRTMQ2eeeijmBcDqFv8u4aeheaqTzeHhffMQ3Lpw6ep -p x5 --no-color --print-time=60

• 矿工程序的部署与启动参数 -

PART04

样本IOC

关于火绒

火绒安全成立于2011年，是一家专注、纯粹的安全公司，致力于在终端安全领域为用户提供专业的产品和专注的服务，并持续对外赋能反病毒引擎等相关自主研发技术。多年来，火绒安全产品凭借“专业、干净、轻巧”的特点收获了广大用户的良好口碑。火绒企业版产品更是针对企业内外网脆弱的环节，拓展了企业对于终端管理的范围和方式，提升了产品的兼容性、易用性，最终实现更直观的将威胁可视化、让管理轻便化，充分达到保护企业信息安全的目的。

点点赞

点分享

点喜欢