ESET安全实验室近期披露了一起持续时间极长、分发规模惊人的GitHub恶意软件分发事件。幕后运营者是一个以越南语为母语的黑客团伙他们将全球最大的代码托管平台改造成了信息窃取类木马的官方应用商店。从2025年3月到2026年初这套攻击体系在众目睽睽之下运转了近十个月直到今年年初才被URLhaus首次标记异常。攻击规模47个账号600余个独立恶意包根据现有取证数据研究人员已经在超过47个GitHub账号中确认了600多个互不相同的恶意ZIP压缩包。这意味着攻击者并非简单复制粘贴而是为每个仓库单独打包了载荷。更棘手的是截至2026年3月初至少有25个账号仍在活跃状态持续向仓库推送更新。这种广撒网持久战的模式本质上已经构成了一套基于GitHub的半自动化僵尸网络。与过去常见的临时性挂马不同该团伙把GitHub当成了长期运营的基础设施——利用平台本身的可信度和高可用性绕过多数企业防火墙对GitHub域名的白名单限制。诱饵设计专挑灰色需求下手该组织对社会工程学的拿捏相当精准。他们创建的仓库名称和描述极具迷惑性主要覆盖四类高危下载场景SaaS工具破解版与浏览器扩展插件游戏外挂与作弊工具开发者生产力工具的免费版成人内容相关资源每一类都精准击中了用户想省钱、想走捷径的心理弱点。仓库页面通常伪装得像模像样附带README说明和版本号甚至模拟正常项目的提交记录。一旦用户下载并解压其中的ZIP文件LuaJIT加载器链条便会在后台静默启动。技术迭代16代混淆器背后的工程化能力ESET追踪发现该活动中出现的LuaJIT加载器已经历了至少16个版本的混淆迭代检测签名从早期的Lua/Agent.Z一路演变到Lua/Agent.BT。这种更新频率在地下恶意软件市场中相当罕见说明该团伙具备持续的开发维护能力而非简单购买现成工具。多级加载器的设计思路很清晰第一层LuaJIT脚本负责环境检测和反调试随后逐层释放下一阶段载荷。整个过程不落地敏感字符串所有关键配置都通过外部渠道动态获取——这就引出了此次攻击最值得关注的技术亮点。把Polygon主网当通信簿区块链C2的实战化应用传统木马通常把C2服务器地址硬编码在样本里或者使用DGA域名生成算法。该团伙的做法则完全跳出了这一框架他们将Polygon主网智能合约当作去中心化的通信簿。具体而言加载器在运行时会调用部署在Polygon链上的智能合约函数从合约存储状态中解析出当前有效的C2服务器IP地址。攻击者只需要发起一笔链上交易更新存储内容全球所有受感染主机就能在下次通信时自动切换到新地址。这种设计的实战优势非常明显抗关停域名或IP被安全厂商封禁后无需重新编译、重新传播整个恶意软件一次链上交易即可完成基础设施迁移。抗分析静态分析样本几乎无法预测下一次通信目标因为地址是实时从区块链读取的。低成本Polygon主网交易费用极低维护整个C2地址库的年花费可能不足几十美元。从战术层面看这标志着区块链技术在APT级恶意软件控制通道中的成熟落地。过去学术界讨论多年的区块链C2概念已经被该团伙商品化、实战化。四层解密后的真身StealC信息窃取木马与C2建立连接后加载器会从GitHub上的死信箱仓库拉取最终载荷。该载荷经过四层密集解密——依次是十六进制解码、异或运算、Base64URL解码和AES-ECB对称解密——最终暴露出核心恶意程序StealC信息窃取木马。StealC在地下论坛已流通一段时间但此次部署的版本功能相当全面凭据收割自动提取Chrome、Edge、Firefox等主流浏览器保存的密码与自动填充表单数据。会话劫持收集Cookie及身份认证令牌为绕过多因素认证MFA提供素材。很多用户以为开了MFA就高枕无忧实际上令牌被盗后攻击者完全可以直接借用你的登录状态。系统侦察采集详细硬件与软件环境信息按关键词检索特定目录下的敏感文件并回传。模块扩展通过PowerShell或msiexec通道下载执行额外恶意模块意味着初始感染只是第一步后续还可能投递勒索软件或远控木马。基础设施画像高抗封杀托管商的集中使用研究人员梳理C2与载荷分发节点时发现该团伙对托管服务商有明确偏好。在48个加载器IP和全部窃取程序IP中多达37个归属于AS 207957Serv.host Group Ltd。这家服务商以高抗封杀、快速换IP著称常被地下产业链用于搭建短期C2。虽然URLhaus在2026年1月才首次公开标记相关样本但回溯分析表明这套攻击体系至少已低调运行十个月。GitHub仓库中残留的越南语注释、特定命名习惯以及提交时间规律均将幕后主使指向一个以越南为基地的全球性信息窃取团伙。给企业与个人用户的现实建议GitHub作为开发者社区天然带有技术可信的光环这正是该团伙持续得手的关键。以下几点建议值得重视对个人用户远离任何来路不明的破解版绿色版免激活版工具。GitHub上的仓库可以随便创建Star数和Fork数都能刷README写得再专业也不能证明作者身份。尤其要警惕以ZIP压缩包形式分发、而非正常源码托管的项目。对企业安全团队在出口防火墙或代理层对GitHub下载行为做适度审计。很多防御体系默认放行github.com及其子域名这正是此类攻击的突破口。建议对下载的可执行文件、压缩包执行落地扫描即便来源是可信平台也不应豁免。对开发者社区如果你在GitHub上发现名称诱人但内容可疑的仓库例如提供免费ChatGPT PlusAdobe全家桶破解积极通过平台举报机制标记。这类仓库存活时间越短潜在受害者就越少。此次事件再次说明开源平台的开放性是把双刃剑。当攻击者比防御者更熟悉平台规则时GitHub这类基础设施本身就可能成为恶意软件供应链的一环。而Polygon区块链充当C2通信簿的手法也给整个安全行业提了个醒未来的网络攻防战场正在向链上空间延伸。