供应链安全威胁档案周报——W44

原创

威胁情报中心
威胁情报中心

奇安信威胁情报中心

2026年11月2日 17:50
北京

去阅读

SUPPLY CHAIN / THREAT FILES

W44 2026 10.24—10.30	供应链安全 威胁档案 每周开源供应链安全情报整理 事件研判 / 排查路径 / 处置动作

03 重点事件	03 类攻击面	07 天风险切片

EDITOR'S NOTE / 本周核心判断

从开发工具到结账页面，“官方渠道”本身也需要持续验证。

本周 3 起事件分别落在 IDE 扩展、浏览器扩展和共享前端脚本。商店上架、扩展签名或统一业务脚本都不是安全终点，版本、发布者、文件完整性与异常外连仍需持续核查。

ATTACK SURFACE MAP

三类攻击面地图

01 / FILE 01 开发工具扩展 扩展加载、SSH 密钥与持久化	02 / FILE 02 浏览器扩展 商店仿冒、页面读取与钱包秘密
03 / FILE 03 共享前端脚本 结账页、支付表单与脚本完整性	+ / ALL FILES 共同防护重点 核验来源、版本、哈希与异常外连

阅读方式：A 看情报与影响，B 按痕迹排查，C 按顺序处置。执行文中命令前请结合业务环境核验。

FILE / 01	2026.10.30

IDE EXTENSION + SSH

伪装 Claude Code 恶意扩展及其 SSH 持久化后门深度解析

被篡改的 Claude Code 扩展在加载时收集敏感信息，并尝试建立 SSH 持久化后门。

Cursor / Claude Code / SSH 后门

A情报概要SIGNAL / INTELLIGENCE

披露时间：2026年10月30日　/　PUBLIC DISCLOSURE

■  情报来源： / SOURCE REGISTER

01	www.microsoft.com https://www.microsoft.com/en-us/security/blog/2026/10/30/inside-malicious-claude-code-branded-cursor-extension-persistent-ssh-backdoor/

02	www.stepsecurity.io https://www.stepsecurity.io/blog/claude-code-extension-trojanized

03	socket.dev https://socket.dev/blog/claude-code-extension-compromise

■  相关信息： / WHAT HAPPENED

微软称2026年10月29日Cursor扩展市场短暂出现被篡改的Claude Code扩展2.1.312和2.1.313，Visual Studio市场和npm未受影响，Anthropic系统未被入侵。注入JavaScript在扩展加载时收集主机、用户、系统、Git邮箱及最多40个敏感环境变量名，向authorized\_keys追加svc-telemetry公钥，尝试启用SSH并用嵌入私钥反向隧道至134.209.82.225，将服务器分配端口转发到本地22，同时在macOS写入LaunchAgent及.smt和.smtk，在Linux添加crontab @reboot，在Windows尝试SysMon计划任务或启动文件夹脚本，并延迟向8099/beacon回传信息。多数macOS和Windows主机因权限或错误未建立访问，但仍可能写入密钥和持久化。建议排查受影响版本，保留证据，删除未授权SSH键、隧道身份、脚本和启动项，轮换凭证，并限制扩展发布者和设置安装冷却。

■  遭受投毒/有被投毒风险的供应商： / AFFECTED ECOSYSTEM

Firefox Add-ons（AMO，Addons.Mozilla.Org）是Mozilla官方的Firefox扩展分发平台。此次恶意扩展经过签名并在官方商店上架，说明“商店上架、已签名、评分较高”均不能单独作为安全依据；仿冒列表还可复制正版图标、介绍并操纵评分，用户应从钱包厂商官网给出的链接进入安装页。

Phantom、Jupiter和Bitget均为加密货币钱包或相关交易服务品牌。钱包助记词和私钥属于持有人凭证，任何获得它们的人都可以控制对应钱包并转移资产。本次攻击直接针对钱包秘密，而不是仅窃取普通浏览记录，因此已安装涉事扩展的设备及在该设备上使用过的钱包均需纳入排查。

B落地分析建议TRACE / INVESTIGATION

01扩展版本与来源初筛

01打开 Cursor 编辑器，进入「扩展」面板，搜索 Claude Code，查看已安装版本号

02若版本不是 2.1.312 / 2.1.313，则无本次事件的感染风险

03若版本匹配，确认安装 / 更新时间是否落在上述暴露窗口内；若在此时间之外安装，感染概率极低

02扩展核心文件恶意特征校验

恶意扩展的核心特征是 extension.js 文件被植入了约 7KB 的恶意加载器，可通过哈希或特征字符串验证：

01定位扩展安装目录

—macOS：~/.cursor/extensions/anthropic.claude-code-<版本号>-<平台>/

—Windows：%USERPROFILE%\.cursor\extensions\anthropic.claude-code-<版本号>-<平台>/

02哈希校验（最准确判定方式）

计算目录下 extension.js 的 SHA256 值，与已知恶意哈希（ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15）对比：

VERIFY / 排查命令

macOS/Linux

shasum -a 256 extension.js

Windows PowerShell

Get-FileHash .\extension.js -Algorithm SHA256

03特征字符串快速筛查

若无法计算哈希，可直接搜索文件中是否包含恶意特征，命中任意字符串即可判定为恶意版本。

VERIFY / 排查命令

macOS/Linux

grep -E \"134.209.82.225|svc-telemetry\" extension.js

Windows PowerShell

findstr \"134.209.82.225 svc-telemetry\" extension.js

03SSH 后门检测

01检查授权密钥文件

恶意代码会向 SSH 授权文件植入公钥，实现持久化登录：

a)检查路径：

—macOS/Linux：~/.ssh/authorized\_keys

—Windows：%USERPROFILE%\.ssh\authorized\_keys，以及 C:\ProgramData\ssh\administrators\_authorized\_keys（若存在）

b)查找是否包含注释为 svc-telemetry 的 SSH 公钥，其指纹为：

SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk

02检查 SSH 服务状态

恶意代码会尝试自动开启本地 SSH 服务：

—macOS：执行 sudo systemsetup -getremotelogin，或在「系统设置 - 通用 - 共享」中查看「远程登录」是否被异常开启

—Windows：执行 Get-Service sshd，查看 OpenSSH SSH Server 是否处于运行状态

—Linux：执行 systemctl status sshd 查看服务状态

04反向隧道进程与网络检测

恶意代码会建立到 C2 服务器的反向 SSH 隧道，用于攻击者远程接入：

01进程检测

a)查找带有反向隧道参数的 SSH 进程：

—macOS/Linux

VERIFY / 排查命令

ps aux | grep -E \"ssh.\-R.\localhost:22|autossh\"

—Windows：在任务管理器中查看 ssh、powershell 进程的命令行，或执行以下命令：

VERIFY / 排查命令

Get-CimInstance Win32\_Process -Filter \"name='ssh.exe'\" | Select-Object CommandLine

b)特征：命令行包含 134.209.82.225、-R '\*:0:localhost:22' 等参数

02网络连接检测

检查是否存在到 C2 地址 134.209.82.225 的连接（22 端口为 SSH 隧道，8099 端口为信息上报）：

VERIFY / 排查命令

macOS/Linux

lsof -i | grep 134.209.82.225

Windows PowerShell

netstat -ano | findstr 134.209.82.225

05持久化机制检测

恶意代码会写入开机自启项保证隧道长期运行，分平台检查：

01macOS

a)检查 LaunchAgent：查看 ~/Library/LaunchAgents/com.apple.sysmond.plist 是否存在

b)检查脚本文件：查看 ~/.config/ 目录下是否存在 .smt、.smtk 隐藏文件

02Windows

a)检查计划任务：执行 schtasks /query /tn SysMon，查看是否存在名为 SysMon 的计划任务

b)检查启动文件夹：查看 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\ 下是否有 sysmon.cmd

c)检查脚本文件：查看 %USERPROFILE%\.config\ 下是否有 smt.cmd、smtk 文件

03Linux

a)检查 crontab：执行 crontab -l，查看是否有 @reboot 指向 ~/.config/.smt 的条目

b)检查脚本文件：~/.config/.smt、~/.config/.smtk

06临时文件残留检测

恶意代码会在系统临时目录写入隧道私钥文件，文件名格式为 .stk\_ + 10 位十六进制字符，该文件的标准 SHA256 为：7e0a52885fadee5544a9e99eb18c792bec05900a5e1a66d68f8383decb0e278：

VERIFY / 排查命令

macOS/Linux

ls -la $TMPDIR | grep .stk\_

Windows PowerShell

dir %TEMP% /a | findstr .stk\_

C处置建议ACTION / RESPONSE

01应急隔离

01断开网络：立即拔掉网线 / 关闭 Wi-Fi，阻断攻击者通过 SSH 隧道的远程访问，防止横向移动和数据窃取

02终止程序：完全退出 Cursor 编辑器，停止恶意扩展的代码执行

03冻结恶意进程：记录所有异常 SSH、autossh、powershell 进程的 PID 与命令行后，强制终止对应进程

注意：不要立即重启系统，避免进程日志丢失；先留存证据再进行清理

02证据留存（企业环境）

在清除前备份以下内容，用于溯源和后续调查：

01恶意扩展的完整安装目录

02被篡改的 authorized\_keys 文件、持久化脚本、plist、计划任务导出信息

03进程快照、网络连接日志、系统登录日志

04所有恶意文件的哈希值、创建 / 修改时间

03移除恶意扩展

01在 Cursor 扩展面板卸载 Claude Code 扩展

02手动删除所有 2.1.312、2.1.313 版本的扩展目录，确保无残留：

EXECUTE / 处置命令

macOS/Linux

rm -rf ~/.cursor/extensions/anthropic.claude-code-2.1.31{2,3}-\*

Windows PowerShell

直接删除对应版本的扩展文件夹

04清理 SSH 后门

01移除恶意公钥

编辑 authorized\_keys 文件，精准删除带有 svc-telemetry 注释的公钥条目，切勿直接清空整个文件，避免影响正常 SSH 配置

02修复文件权限

macOS/Linux 下执行 chmod 600 ~/.ssh/authorized\_keys，保证权限正确

03关闭 SSH 服务

若原本不需要 SSH 服务，将其关闭并禁用自启：

EXECUTE / 处置命令

macOS

sudo systemsetup -setremotelogin off

Linux

systemctl stop sshd && systemctl disable sshd

Windows

Stop-Service sshd; Set-Service sshd -StartupType Disabled

05清理隧道相关文件与进程

01终止所有残留的 ssh、autossh 恶意进程

02删除系统临时目录下所有 .stk\_ 开头的私钥文件

03删除 ~/.config/（macOS/Linux）或 %USERPROFILE%\.config\（Windows）下的 .smt、.smtk、smt.cmd 恶意脚本

06清除持久化机制

01macOS

a)卸载 LaunchAgent

EXECUTE / 处置命令

launchctl unload ~/Library/LaunchAgents/com.apple.sysmond.plist

b)删除 plist 文件

EXECUTE / 处置命令

rm -f ~/Library/LaunchAgents/com.apple.sysmond.plist

c)二次确认对应脚本文件已删除

02Windows

a)删除计划任务

EXECUTE / 处置命令

schtasks /delete /tn SysMon /f

b)删除启动文件夹中的 sysmon.cmd 文件

c)确认 %USERPROFILE%\.config\ 下的恶意脚本已删除

03Linux

a)执行 crontab -e，删除包含 ~/.config/.smt 的 @reboot 条目

b)确认对应脚本文件已删除

07账户与权限核查

01检查本机所有用户账户，移除未知的新增账户

02核查管理员组、sudoers 列表，排除异常提权配置

03修改本机用户登录密码

08全量凭据轮换

恶意代码会扫描环境变量中的密钥、Token 名称，且攻击者获得 SSH 权限后可读取全部本地数据，建议：

01轮换本地存储的所有 API 密钥、云服务凭证（AWS/GCP 等）、Git 凭据、数据库密码

02撤销所有可能泄露的访问令牌、服务账号密钥

03企业环境需排查该主机是否有内网横向访问痕迹，轮换对应内网服务凭据

09扩展安全加固

01重新安装 Claude Code 时，选择 2.1.314 及以上版本，优先从 Open VSX 等官方渠道安装

02在 Cursor 设置中启用「受信任发布者限制」，仅允许安装已验证发布者的扩展

03开启扩展安装冷却期，禁止新发布扩展自动更新

END OF FILE 01 / 03

FILE / 02	2026.10.27

BROWSER + WALLET

恶意 Firefox 扩展仿冒 Phantom、Jupiter 和 Bitget 窃取钱包密钥

仿冒钱包扩展利用同形字符与正版素材伪装，直接窃取助记词和私钥。

Firefox / Phantom / 钱包窃密

A情报概要SIGNAL / INTELLIGENCE

披露时间：2026年10月27日　/　PUBLIC DISCLOSURE

■  情报来源： / SOURCE REGISTER

01	socket.dev https://socket.dev/blog/firefox-wallet-impersonators

■  相关信息： / WHAT HAPPENED

Socket威胁研究团队发现一组仿冒Phantom、Jupiter和Bitget钱包的恶意Firefox扩展。攻击者使用Unicode同形字符、正版图标和宣传文案伪装商店列表，三个扩展在分析时均已上架，报告发布时已下架。所有签名安装包都内置持续运行的窃取器，可读取页面输入、文本域、剪贴板粘贴内容及“显示助记词”页面，窃取BIP-39助记词、EVM和Solana私钥并外发至bonto[.]io的品牌子域名。Phantom仿冒扩展还会从phantom[.]bonto[.]io/config拉取Base64编码的第二阶段代码并注入页面主世界，使运营者无需重新提交商店审核即可开关或更新载荷；其包内另含可将窃密内容转发至Telegram并自动转移多链资产的后端。Jupiter和Bitget变体不依赖远程加载，安装包本身即可完成窃密。另有coinbase和exodus子域名被配置，但报告时未发现对应商店列表。由于助记词和私钥即钱包控制权，输入或展示过这些秘密的用户应立即在干净设备上创建全新钱包并转移资产，不能仅修改钱包密码。

■  遭受投毒/有被投毒风险的供应商： / AFFECTED ECOSYSTEM

Firefox Add-ons（AMO，Addons.Mozilla.Org）是Mozilla官方的Firefox扩展分发平台。此次恶意扩展经过签名并在官方商店上架，说明“商店上架、已签名、评分较高”均不能单独作为安全依据；仿冒列表还可复制正版图标、介绍并操纵评分，用户应从钱包厂商官网给出的链接进入安装页。

Phantom、Jupiter和Bitget均为加密货币钱包或相关交易服务品牌。钱包助记词和私钥属于持有人凭证，任何获得它们的人都可以控制对应钱包并转移资产。本次攻击直接针对钱包秘密，而不是仅窃取普通浏览记录，因此已安装涉事扩展的设备及在该设备上使用过的钱包均需纳入排查。

B落地分析建议TRACE / INVESTIGATION

01浏览器扩展清单核查

恶意扩展的名称、图标均高度仿冒官方，必须通过扩展内部 ID（Gecko ID）进行唯一核验：

01打开 Firefox 浏览器，地址栏输入 about:debugging#/runtime/this-firefox 进入扩展调试页面。

02在「已安装扩展」列表中，核对每个扩展的「内部 ID」，匹配以下任意一项即可判定为感染：

仿冒对象	AMO 商店 ID	内部 Gecko ID	伪装特征
Phantom 钱包	3092199	a8f3k2m9x1fefb7q4n6p0r5t@j2w8c4fefy6v1d3z9	名称为 Unicode 同形字伪装的「Phantom」，复用官方幽灵图标
Jupiter 钱包	3092666	{48392751-9302-4817-5621-703829164830}	声称「由 Jupiter Exchange 开发」
Bitget 钱包	3092059	{c31e7a95-2f64-4b18-a0d3-6e92f5c7481b}	扩展内部名称为「TabFlow Pro」，对外展示 Bitget 品牌

辅助判断特征：

—扩展同时申请「访问所有网站的数据」+「访问浏览器标签页」权限，但声明「无数据收集」，且无隐私政策。

—开发者为匿名账号（ID 格式为anonymous-随机字符串），非官方认证主体。

—评分存在短时间异常暴涨（如 2 天内从 2.9 分升至 3.9 分），评论区存在用户反馈资产丢失。

02浏览器本地残留检测

Phantom 仿冒扩展会将远程加载的窃取脚本缓存到浏览器本地存储，即使扩展暂时未激活也可能残留：

01在扩展调试页面点击对应扩展的「检查」按钮，打开开发者控制台。

02切换至「存储」-「本地存储」，查看是否存在键名为 \_px 的条目，该条目为缓存的恶意窃取载荷。

03进入 Firefox 配置文件目录（about:support页面可查看「配置文件夹」路径），进入extensions子目录，核对扩展文件的 SHA-256 哈希：

—Phantom 仿冒扩展 v25.6.0：311c49974f28d33947b8b74d78b48f51855eacac182d519a4fe1daa6af7f30e9

—Jupiter 仿冒扩展 v1.19.2：fd7b138f4fba003db332a4eee833e84491bf7ffec5a3d91f7451d7b95aabcf6a

—Bitget 仿冒扩展 v2.21.8：e688bff5df32f209b4ebb882985e3ad19ddee68666405c39ff523307068a8611

03排查网络访问痕迹

恶意扩展会向bonto.io系列域名外发窃取的敏感数据，可通过以下方式排查访问痕迹：

01检查系统 DNS 缓存解析记录：

—Windows：命令提示符执行 ipconfig /displaydns，检索bonto.io相关记录。

—macOS：终端执行 dscacheutil -q host 检索相关域名解析记录。

—Linux：查看系统 DNS 服务缓存日志或执行对应刷新前的查询记录。

02核对恶意基础设施清单：

—主域名：bonto.io

—外发子域名：phantom.bonto.io、jupiter.bonto.io、bitget.bonto.io、coinbase.bonto.io、exodus.bonto.io

—关联 IP：104.21.34.69、172.67.155.198

04钱包资产与操作回溯

该攻击的最终目标是窃取钱包控制权，需同步核验资产状态：

01回溯是否在上述扩展中输入过助记词、私钥，或在扩展内打开过助记词备份展示页面。

02使用未受感染的安全设备登录对应钱包，检查以太坊、BSC、Solana、比特币等所有链上地址，是否存在非本人操作的转账记录。

03检查钱包的 DApp 合约授权列表，是否存在陌生地址的异常授权。

C处置建议ACTION / RESPONSE

01立即止损并保护钱包资产

01断开疑似感染设备的网络

关闭Wi-Fi并拔掉网线，然后关闭Firefox，阻止远程配置和窃取内容继续传输。资产优先转移
绝对禁止在受感染设备上操作钱包。立即使用另一台确认安全的设备（如干净手机、硬件钱包），将受影响钱包内的所有加密资产转移到全新生成的安全钱包地址。

02禁止敏感操作

保存异常交易哈希、时间、金额和收款地址截图。如资产归企业或交易平台所有，立即通知财务、钱包管理员和相关平台，按既有应急流程处理，不要向自称可“追回资产”的陌生人提供助记词。

02移除恶意载荷与残留

01卸载恶意扩展

—基础操作：进入about:addons页面，找到对应恶意扩展，点击「移除」，勾选删除所有关联数据。

—强制清除：若扩展无法正常卸载，进入 Firefox 配置文件夹的extensions目录，直接删除对应 Gecko ID 命名的扩展文件 / 文件夹，重启浏览器生效。

02清除浏览器恶意残留

a)方案a：刷新 Firefox 一键重置

—地址栏输入about:support，点击页面右上角「刷新 Firefox」。

—确认操作后浏览器自动重启，会保留书签、浏览历史、保存的密码，同时彻底清除所有扩展、扩展数据与自定义配置，完全消除恶意脚本与缓存残留。

b)方案b

—在扩展调试控制台中，删除本地存储中\_px等恶意键值。

—清除浏览器全站缓存、Cookie 与站点数据，手动删除bonto.io相关的所有站点数据。

03系统层面清理

01刷新系统 DNS 缓存

—Windows：命令提示符执行 ipconfig /flushdns

—macOS：终端执行 sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

—Linux：根据系统 DNS 服务执行对应刷新命令（如systemd-resolve --flush-caches）

02检查系统hosts文件（Windows 路径：C:\Windows\System32\drivers\etc\hosts；macOS/Linux 路径：/etc/hosts），确认无指向恶意域名的篡改记录。

03使用正规反恶意软件对系统进行全盘扫描，排查是否存在其他伴随恶意程序。

04钱包资产补救与安全重置

01永久作废原钱包：只要助记词 / 私钥在感染设备上输入、显示过，必须彻底废弃该钱包，不可继续使用。攻击者已获取完整控制权，修改密码、更换设备登录均无法消除风险。

02生成全新安全钱包：在确认安全的设备上生成新钱包，采用物理方式离线备份助记词，切勿截屏、云存储或通过网络传输。

03全链资产迁移：逐一核对原钱包派生的所有公链地址，将所有可转移资产全部转入新钱包地址。

04清理异常授权：若原钱包仍有不可立即转移的资产，在安全设备上撤销所有 DApp 合约授权，关闭钱包的网页连接权限。

05关联账号加固：若钱包绑定了交易所、邮箱、手机号，同步修改对应账号密码，开启二次验证（2FA），排查异常登录记录。

05长效防护加固

01扩展安装安全规范

a)加密钱包扩展必须从官方网站跳转至官方应用商店页面安装，绝对不要通过商店搜索结果直接安装，规避同形异义字钓鱼。

b)安装前核对扩展 ID、开发者主体、用户量级，与官方公示信息完全一致再安装。

c)定期清理不常用的浏览器扩展，对申请「访问所有网站数据」权限的扩展保持高度警惕。

02钱包使用安全规范

a)永远不在第三方网页、非官方扩展中输入助记词 / 私钥，助记词仅用于官方钱包的离线导入。

b)大额资产优先使用硬件钱包，实现私钥与联网环境物理隔离。

c)不对助记词进行截屏、拍照、云存储，采用纸质等物理方式离线多重备份。

03网络与终端防护

a)在家庭路由器、系统 hosts 或企业防火墙中，全局屏蔽bonto.io及其所有子域名。

b)保持浏览器、操作系统、安全软件的自动更新，及时修复安全漏洞。

c)企业环境可部署浏览器扩展安全管控方案，禁止未授权扩展安装，监控扩展的异常数据外发行为。

END OF FILE 02 / 03

FILE / 03	2026.10.26

CHECKOUT + SCRIPT

Convertr结账页因Plausible分析脚本被篡改泄露支付信息

共享分析脚本被植入支付窃取器，使多个商户结账页成为数据外发入口。

Convertr / Plausible / Magecart

A情报概要SIGNAL / INTELLIGENCE

披露时间：2026年10月26日　/　PUBLIC DISCLOSURE

■  情报来源： / SOURCE REGISTER

01	sansec.io https://sansec.io/research/convertr-plausible-supply-chain-attack

■  相关信息： / WHAT HAPPENED

Sansec发现一个自2024年活跃的巴西Magecart团伙在电商平台Convertr的自建Plausible分析脚本中追加银行卡窃取器。自10月24日起，所有加载该公共脚本的Convertr商户结账页均可能受到影响，恶意代码在地址含checkout.convertr的页面读取卡号、有效期、CVV、持卡人姓名和巴西税号CPF，并同时从支付表单及支付API请求中采集数据，在下单时经Base64编码后POST至1x0.is/ws。10月24日的首版使用通用字段匹配，10月26日又更新为精确匹配Convertr支付API字段。Convertr的Plausible CE 3.0长期未更新，报告怀疑攻击者利用CVE-2026-8467通过无需登录的/storybook在服务器执行命令，但因缺少服务器日志，该入口尚未确认；受影响版本为3.0.0至3.2.0，3.2.1已于2026年5月修复。Convertr于10月27日移除窃取器并升级Plausible，Sansec随后确认线上脚本干净。由于浏览器可能缓存旧脚本最长24小时，清理后仍需复核缓存和历史暴露；自10月24日起在相关结账页刷卡的用户应联系银行锁卡换卡，并关注CPF被冒用的风险。

■  遭受投毒/有被投毒风险的供应商： / AFFECTED ECOSYSTEM

Convertr是面向巴西时尚品牌的电商与结账服务平台，其商户页面统一加载analytics.convertr.app.br提供的分析脚本。攻击者只修改这一处共享文件，即可让所有嵌入该脚本的商户结账页加载恶意代码，属于典型的共享前端脚本供应链风险。平台完成清理不代表历史影响自动消失，仍需覆盖感染期间及清理后的缓存窗口。

Plausible是一款可替代Google Analytics的开源网站统计工具，Community Edition（CE）可由企业自行部署。自建实例的版本、/storybook暴露情况和tracker文件完整性均由部署方负责；一旦服务器被入侵，攻击者可直接修改磁盘中的统计脚本，并借助正常业务页面分发恶意代码。报告同时指出，该团伙此前还直接攻击Magento、OpenCart和WooCommerce商店，使用这些平台的商户也应检查是否加载异常第三方脚本。

B落地分析建议TRACE / INVESTIGATION

—场景一：个人消费者

同时满足以下两个条件，即属于信息泄露高风险用户：

—时间范围：2026 年 10 月 24 日～2026 年 10 月 27 日 13:08（UTC，官方确认清理完成前）

—场景范围：在巴西电商网站支付时，支付页面 URL 包含checkout.convertr字段，且在该页面填写了信用卡号、有效期、CVV 与 CPF 信息。

01核查浏览器访问历史

打开浏览器历史记录，搜索关键词 checkout.convertr、analytics.convertr.app.br，确认在风险时间段内是否访问过 Convertr 旗下的结账页面。

02核对消费订单记录

排查同期巴西时尚类、电商类订单，确认其结账系统是否由 Convertr 提供；可联系商家客服确认其支付平台归属。

03监控信用卡交易异常

查看风险时间点之后的信用卡账单，重点关注：

—陌生商户的小额扣款（盗刷团伙常用 1-2 雷亚尔的测试交易验证卡片有效性）

—非本人授权的跨境消费、线上消费

—重复出现的未知订阅类扣款

04核查 CPF 身份使用记录

通过巴西 Serasa、SPC Brasil 等信用服务机构查询个人信用报告，确认是否存在非本人的信贷查询、账户开立、服务注册等记录。

—场景二：商家 / 站点运维

01Convertr 平台商家检测步骤

01确认平台修复状态

主动联系 Convertr 官方，获取事件正式通告，确认其分析脚本已完成清理、Plausible 已升级至 3.2.1 及以上修补版本。

02脚本完整性校验

自行获取结账页面加载的脚本文件 https://analytics.convertr.app.br/js/script.pageview-props.tagged-events.js，计算其 SHA256 哈希值，与已知恶意哈希对比：

a)恶意哈希（2026-10-26 样本）：ee4618d24737eff785e5a267b55903d5ef6ff7ecbeb099347a67fee77734d7f7

b)若哈希匹配，说明脚本仍存在恶意代码，需立即反馈平台并临时下线结账页面。

03出站流量检测

通过 WAF、流量日志检查结账页面是否存在向1x0.is等恶意域名的 POST 请求，确认窃取行为是否仍在发生。

02自行部署 Plausible CE 的站点检测步骤

01版本漏洞核查

确认当前部署的 Plausible Community Edition 版本：若版本号在 3.0.0 ~ 3.2.0 区间，则存在 CVE-2026-8467 远程命令执行漏洞，属于高风险。

02入侵痕迹检测

—检查 Web 访问日志，统计/storybook路径的所有访问请求，重点关注外部 IP 的 POST、PUT 请求，该路径是漏洞利用的入口。

—校验priv/tracker/js/目录下的所有脚本文件，与官方对应版本的发行文件做哈希比对，确认是否被篡改植入窃取代码。

—检查系统异常账户、定时任务、可疑进程与 webshell 文件，验证攻击者是否留下持久化后门。

03IOC 特征匹配

将以下威胁指标与服务器日志、流量日志做全量匹配，命中任意一项即说明已被该团伙入侵：

—恶意外连域名：1x0.is、snf.is、anl.is、nmn.is、eqp.is、tray.is等文档列出的短域名

—恶意字符串：脚本中出现 indexOf('checkout.convertr')、String.fromCharCode+eval组合的混淆代码

—外连接口：/ws、/cartao.php、/pagamento.php 等特征路径的 POST 请求

C处置建议ACTION / RESPONSE

—场景一：个人消费者

01信用卡紧急处置

01冻结并更换卡片

立即联系发卡银行，对涉事信用卡执行挂失冻结，申请换发全新卡号、CVV 的新卡；切勿仅修改密码，卡号 + 有效期 + CVV 全部泄露后旧卡已完全不可用。

02交易申诉与拒付

向银行提交信息泄露证明，申请对所有非本人交易进行拒付和账款追回；要求银行开启交易实时提醒，覆盖短信、APP 推送双通道。

03限制卡片权限

在银行 APP 中临时关闭境外消费、无卡支付、自动代扣等功能，仅保留必要支付权限，后续按需逐步开启。

02CPF 身份盗用防护

01信用冻结与欺诈警报

在 Serasa、SPC Brasil 等信用机构提交欺诈警报申请，冻结个人信用报告的查询权限，防止攻击者冒用 CPF 办理贷款、信用卡、运营商套餐等业务。

02定期信用巡检

未来 3-6 个月内每月查询一次个人信用报告，持续监测身份盗用痕迹；Magecart 团伙常囤积数据数月后再实施二次诈骗。

03报案与合规备案

若已出现身份盗用、资金损失，立即向巴西联邦警察（PF）或当地 Procon（消费者保护机构）报案，获取报案回执用于后续纠纷申诉。

03本地浏览器清理

本次攻击无本地木马，但为避免残留缓存的恶意脚本带来二次风险：

01清除浏览器全部缓存、Cookie 与站点数据，重点清理 convertr 相关站点的本地存储。

02检查浏览器扩展列表，移除未知、非官方的支付类、购物类扩展。

03若使用了密码管理器保存该站点的支付密码，立即更新相关密码。

04长期监测建议

—持续监控信用卡账单至少 6 个月，卡片盗刷可能在泄露后数周甚至数月后发生。

—避免在非官方、小型巴西电商站点重复使用同一 CPF 绑定多张信用卡。

—场景二：商家 / 站点运维

01紧急处置与清理

01下线风险页面与隔离服务器

—若检测到脚本被篡改，立即临时下线结账页面，避免更多用户信息泄露；同时将受侵服务器从网络中隔离，禁止横向访问。

—对于 Plausible 自部署站点，立即替换所有被篡改的脚本文件为官方原版，先阻断窃取行为再做深度排查。

02升级修补漏洞

第一时间将 Plausible CE 升级至3.2.1 或更高版本，从根源修复 CVE-2026-8467 远程命令执行漏洞。

02入侵溯源与范围确认

01全量审计服务器日志，定位首次入侵时间、攻击者 IP、执行的系统命令，确认数据泄露范围与持续时长。

02排查同网段其他服务器，确认攻击者是否利用该服务器作为跳板进行横向渗透。

03统计受影响的用户订单与支付数据，按巴西 LGPD（通用数据保护法）要求准备用户通知与监管报备材料。

03凭据轮换与权限收敛

01轮换服务器所有管理员账户密码、SSH 密钥、数据库密码，禁用所有可疑账户。

02轮换 Plausible 配置中的所有密钥、API Token、管理后台凭据，防止攻击者利用留存密钥长期访问。

03收敛 Plausible 服务权限，降低运行账户的系统权限，遵循最小权限原则。

04长效安全加固

01组件防护

通过 Web 服务器（Nginx/Apache）配置访问控制，禁止外网访问/storybook路径；生产环境直接移除 Storybook 组件，避免类似漏洞再次被利用。

02脚本完整性防护

对前端加载的第三方脚本启用子资源完整性（SRI）校验，确保脚本被篡改后浏览器自动拒绝加载，阻断供应链攻击路径。

03文件完整性监控

部署文件完整性监控（FIM）系统，对网站脚本、静态资源文件进行实时监控，一旦发生非法篡改立即告警。

04补丁管理机制

建立第三方组件定期更新机制，对开源组件每月进行漏洞扫描与版本升级，避免长期使用未修补的旧版本。

05支付链路专项防护

在结账页面部署反 Magecart 检测规则，监控表单数据的异常外发行为；配置 WAF 规则拦截向恶意域名的出站请求。

06定期安全检测

使用 eComscan 等专业电商安全扫描工具，定期检测站点是否存在 Magecart 窃取器、支付页面篡改等风险。

05合规与用户通知

01按照 LGPD 要求，在 72 小时内向巴西数据保护局（ANPD）报备数据泄露事件。

02主动通知所有受影响消费者，明确告知泄露信息类型、风险范围与具体应对措施。

03同步通知合作的支付机构、收单行，协同监测异常盗刷交易，降低用户资金损失。

END OF FILE 03 / 03

NEXT CHECK / 下周观察清单

把信任变成可验证项

01　核对扩展 ID、发布者与版本来源

02　校验共享脚本哈希与组件补丁状态

03　排查 SSH 持久化与异常外连

04　在可信设备上保护钱包、卡片与凭证

SUPPLY CHAIN / THREAT FILES / W44