GitHub 上的虚假安全工具会推送后门和信息窃取程序

Rhinoer
Rhinoer

犀牛安全

2026年11月12日 00:00
北京

去阅读

网络安全专业人员正成为 GitHub 上受感染安全项目的攻击目标，这些项目会部署后门和信息窃取恶意软件。

该攻击活动大约两年前开始，最初的目标是加密钱包用户，但最近攻击者改变了目标，发布了恶意代码库，用于自动化扫描、安全测试和日志分析。

网络安全公司 Dr. Web 的研究人员发现，迄今为止已有超过 2000 个 Windows 系统遭到入侵。

他们发现的一个恶意存储库是一个伪造的脚本，宣传为一种轻量级解决方案，用于解析、清理和格式化 Fscan 网络扫描器的输出。

之前的诱饵包括区块链游戏、机器人和作弊工具，通常针对区块链和游戏爱好者。

Dr. Web 的调查发现，在 Visual Studio 项目文件、Python 脚本和 Go 源文件中嵌入了恶意代码，这些代码隐藏在大段空白后面，这是一种仍然有效的古老技术。

研究人员表示，在某些 Visual Studio 项目中，预生成事件例程会在编译之前运行代码。

该感染链使用 PowerShell 获取加密下载链接，该链接会获取名为“Microsoft.exe”的基于 Electron 的模块化加载器。

加载程序会在受感染的主机上建立持久性，提升其权限，禁用 Windows 安全和恢复功能，并将下一阶段（恶意软件）注入到合法进程中。

韦布博士介绍了装载机在模式3（即其默认操作模式）下的六种规避技术：

1. 使 explorer.exe 看起来像是恶意软件的父进程
2. 更改 Windows 注册表值以禁用智能应用控制
3. 从磁盘恢复原始 ntdll.dll 代码，以移除安全软件添加的钩子。
4. 直接进行 Windows 系统调用，安全工具更难拦截。
5. 修补内存中的 EtwEventWrite，以抑制受影响进程中的事件跟踪。
6. 通过修改内存中的 AmsiCanBuffer 来干扰杀毒软件对脚本的扫描。

如果该模式启动失败，加载程序将使用模式 2，该模式会添加 Microsoft Defender 排除项，并使用 PowerShell 脚本解密有效载荷并将其注入到“RegAsm.exe”中。

最终交付给主机的有效载荷包括 AsyncRAT 后门、替换剪贴板中加密钱包地址的 clipper 恶意软件以及信息窃取程序。

信息窃取程序会收集浏览器数据、VPN 设置、FTP 客户端配置文件、游戏帐户数据和 Discord 令牌，并通过 Telegram 机器人泄露这些信息。

据 Dr. Web 称，该恶意软件还会试图从受感染的计算机中删除 ESET、McAfee 和 Malwarebytes 防病毒工具，试图断开它们与更新服务器的连接，还会干扰 Windows 备份。

Web 博士的研究人员还发现了一个看似未完成的组件，该组件可以帮助保持加载程序运行，并在加载程序从主机磁盘中删除时重新下载它。

这一发现表明，攻击者正在努力通过添加新功能来改进恶意软件。研究人员分享了本次攻击活动中观察到的所有入侵指标的完整列表 。

信息来源：BleepingComputer