400-9909-139
GitHub惊现“李鬼”项目 免费开源版Ps暗藏恶意链接！
发布时间：2026-11-05 14:30:19
—发布时间—
2026-11-05 14:30:19
近期，火绒安全实验室在日常监测中发现，有攻击者假借开源图像编辑项目PhotoCraft之名，分发携带恶意程序的Windows安装包。该程序通过多层代码保护隐藏真实功能，并能够进一步获取其他恶意组件。 经火绒安全工程师分析发现，相关组件具有数字钱包信息窃取、转账地址替换等功能，可能对用户的账号及数字资产安全造成威胁。目前，火绒安全产品已实现对该行为的拦截与查杀。 Photoshop是众多设计师、摄影爱好者及普通用户所熟知的图像处理软件。近期，一款名为PhotoCraft的开源图像编辑项目因其小巧、免费的特性而受到关注。 然而，一些不法分子也盯上了用户对免费软件的需求。火绒安全实验室在溯源分析中发现，GitHub上出现了一个名为PhotocraftAdobe/PhotoCraft-Photoshop的第三方仓库，其名称与PhotoCraft项目高度相似，并提供了标注为v0.5.0的Windows便携版压缩包，容易让用户误以为这是官方发布的软件下载地址。 用户在GitHub下载开源软件时，可以通过一些简单的方法初步判断项目是否可信。例如，查看项目的Star数量、创建时间、历史提交记录，以及开发者的个人主页。通常来说，较为成熟的开源项目会积累一定的关注度和开发记录，而仿冒仓库可能存在Star数量较少、创建时间较短、提交记录异常等问题。 以此次发现的仿冒仓库为例，其作者主页仅有一次代码提交记录，且头像疑似由AI生成，缺少能够证明其与原项目存在关联的开发记录。这些异常现象虽然不能单独作为恶意判定依据，但结合仓库名称刻意模仿官方项目、提供未经核实的软件下载包等情况，其可信度明显存疑。 因此，火绒安全实验室建议用户下载开源软件时，要注意以下事项： 官方渠道下载：下载开源软件优先从官网跳转GitHub，不随便下第三方便携版、打包版 核验仓库：GitHub项目留意Star、创建时间、提交记录，新仓库、极少提交需警惕 保护数字资产：加密货币转账，务必核对粘贴后的收款地址，防范剪贴板劫持 保持安全防护：日常保持安全软件实时防护开启、定期全盘查杀；若运行过可疑程序，需全盘扫描并检查自启动项 火绒安全工程师对仿冒PhotoCraft安装包进行分析发现，该程序采用NSIS打包，内部包含Electron程序及加密载荷。安装包通过脚本恢复并启动隐藏程序，随后获取多个功能不同的恶意组件，涉及信息窃取、数字货币收款地址替换、代理转发等行为。 安装包中的JavaScript脚本会读取内置加密数据，通过AES解密恢复出Windows可执行文件，并将其写入本地后在后台启动。相关代码还会延迟删除部分临时文件，清理加载过程中产生的痕迹。 启动隐藏程序前，脚本会检查计算机内存、处理器、用户名、计算机名称及部分虚拟化环境特征，并据此决定是否继续加载。 脚本会调用PowerShell，尝试将相关路径加入Windows Defender排除项，以降低隐藏程序被检测的可能。 第一阶段程序使用虚拟化、控制流混淆及完整性校验保护代码。分析确认其中存在两套不同的虚拟机取指逻辑，其恶意行为包括针对Steam的信息收集代码，读取本地配置中的账号信息和加密记录，尝试调用Windows数据保护接口解密。取得的结果会交给统一的数据提交函数，导致账号相关信息泄露。 第一阶段程序能够解析服务端下发的下载任务，将指定文件保存到本地并启动。调查中取得的任务包含controller.exe的下载地址；该程序进一步读取外部配置，获取后续组件，并具有下载、落地和后台启动代码，使恶意功能可以继续扩展。 钱包窃密组件会按内置目标表，查找桌面钱包及浏览器扩展的相关文件。程序将命中的文件复制到临时目录，打包为ZIP后交给上传函数，涉及Exodus、Electrum、Ledger Live、Trezor Suite等客户端的数据目录。 该组件通过Windows UI Automation判断当前控件是否与密码输入有关，再结合键盘钩子记录输入内容。当用户在符合条件的控件中按下Ctrl+V时，程序还会读取粘贴内容，并将记录交给上报函数。 程序会监视指定的钱包进程，在通信及窗口状态满足条件时，隐藏原窗口并尝试结束目标进程及其直接子进程。随后，它生成嵌入远程页面的本地HTML，使用Chrome或Edge的应用窗口模式打开，并调整窗口标题、位置和尺寸，伪装成钱包界面。 访问相关域名取得针对Exodus、Ledger Live 和 Trezor Suite的仿冒页面。相关页面通过虚假的密码错误或设备异常提示，引导用户输入密码、PIN码、钱包恢复词及附加口令，并包含向远程服务器提交这些信息的代码。 攻击者试图诱导用户主动交出钱包恢复信息： 剪贴板组件会监听内容变化，识别其中符合规则的数字货币地址，并获取相应的替换地址，再将新文本写回剪贴板。部分类型可向远程服务查询替换地址，请求失败时还可使用内置地址。 如果用户转账时只核对复制前的地址，没有检查粘贴后的收款信息，则会将资金转入攻击者指定的账户。 代理组件通过WebSocket接收控制数据，解析SOCKS5连接请求，根据指定的主机和端口建立TCP连接，并双向转发网络数据。该能力可能使受害电脑成为远程代理出口，占用用户的网络及连接资源。 钱包窃密组件会尝试将自身复制到用户目录，并创建名为UpdateHost_1117的计划任务。若计划任务设置失败，则尝试写入当前用户的Run注册表项，以便后续继续启动。 钱包窃密组件还会定时请求更新。 另一组件包含矿工程序、驱动及相关管理逻辑，具有部署和管理挖矿程序的能力。未经用户同意运行此类程序，可能占用计算资源，造成电脑卡顿、发热及额外耗电。 矿工配置： -a rx/0 -o pool.supportxmr.com:443 --tls -u 4ArwkWZHha7etJfjsGhYQZGikpJiGBHW27c4L9CXkcJY96ymzL27rRTMQ2eeeijmBcDqFv8u4aeheaqTzeHhffMQ3Lpw6ep -p x5 --no-color --print-time=60
作者： 浏览量：
关于比特信息
公司成立于2018年，坐落于粤港澳大湾区-中山，专注为中大型企业提供全套企业信息安全解决方案，包括但不限于服务器虚拟化、桌面虚拟化、信息安全、数据存储、行为管理、工控安全、私有云、公有云等服务。
Copyright © 广东比特信息科技有限公司 All Rights Reserved. 备案号：粤ICP备19007201号-1
技术支持电话：18825383068
联系方式
咨询电话
400-9909-139
中山市石岐街道江怡街2号富力中心2栋20楼2004
公众号二维码
关于比特信息
比特信息科技是一家专注于阿里云、网络安全及数据安全的企业，“诚信、专业、创新”是比特信息对待客户及合作伙伴的最基本原则。比特信息科技通过与各大软、硬件厂商的紧密合作，为用户提供优质、高效、实用的整体信息化解决方案，为客户提供阿里云、网络安全、主机安全、应用安全、数据安全等服务。
联系方式
咨询电话
139-2450-5487
中山市石岐街道江怡街2号富力中心2栋20楼2004
关注公众号
Copyright © 广东比特信息科技有限公司
技术支持电话：18825383068
