【APT攻击】针对渗透测试人员的大规模钓鱼攻击，涉及38个Github账号，你中招了吗？

最新推荐文章于 2025-04-28 10:17:11 发布
最新推荐文章于 2025-04-28 10:17:11 发布
阅读量938 收藏 13
点赞数 8
分类专栏： 免杀 文章标签： github APT追踪
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/sxr__nc/article/details/146353687
版权

关于我们

4SecNet 团队专注于网络安全攻防研究，目前团队成员分布在国内多家顶级安全厂商的核心部门，包括安全研究领域、攻防实验室等，汇聚了行业内的顶尖技术力量。团队在病毒木马逆向分析、APT 追踪、破解技术、漏洞分析、红队工具开发等多个领域积累了深厚经验，并持续在复杂威胁对抗和攻防技术创新方面不断探索与突破。4SecNet 致力于通过技术共享与实践推动网络安全生态的持续进步。

免责声明

本文的内容仅用于学习、交流和技术探讨，旨在传播网络安全知识，提高公众的安全意识。本博客不支持、提倡或参与任何形式的非法活动。本博客内容面向具备合法使用目的的读者，请确保在使用博客中涉及的技术或方法时符合《中华人民共和国网络安全法》等相关法律法规的要求。任何人不得将本博客内容用于破坏网络安全、侵入系统或其他违反法律的活动。

项目获取

微信搜索4SecNet，关注公众号加入圈子，获取项目详细信息

背景介绍

近期，我们接到客户寻求帮助。客户在GitHub上下载了一个开源项目，并在本地环境编译其中的代码。然而，在运行该项目后不久，客户察觉到计算机出现后台进程异常运行。
经过初步分析，我们确认该项目存在明显的恶意行为。攻击者伪装成红队开源开发者，在GitHub上发布了一个精心构造的恶意代码库。再进一步溯源时，我们发现该恶意行为并非个例，而是一起大规模的针对渗透测试人员的APT攻击活动，其中涉及到38个GitHub账户均存在恶意后门。
在这里插入图片描述

详细信息

经过初步分析，我们发现该GitHub账户不仅活跃度较高，还发布了多个用于渗透测试的工具源码。这些工具表面上看是合法的工具，但经过深入调查后，我们发现其中项目工程文件被植入了恶意后门。一旦用户下载并尝试编译这些工具，攻击者便可借此在受害者设备上获取远程控制权限，窃取敏感数据，甚至进一步扩展攻击范围。
在这里插入图片描述
进一步分析该账户发布的源码项目后，我们发现该黑客组织巧妙地利用了Visual Studio的编译特性，在项目的工程文件（.csproj）中嵌入了恶意代码。通过这一手法，攻击者能够在受害者编译或运行项目时，悄无声息地执行恶意脚本，从而实现后门植入、远程控制或数据窃取等恶意行为。这种攻击方式极具隐蔽性，往往难以被普通开发者察觉。
在这里插入图片描述
攻击者在“.csproj”文件中巧妙地插入了<PreBuildEvent>标签，使得项目在编译构建阶段自动触发恶意代码执行。
在这里插入图片描述
该部分恶意代码采用 Windows 批处理脚本编写，并经过多层混淆处理。经过初步解码分析，发现该样本通过拼接三段 Base64 编码数据，最终在 %TEMP% 目录下释放一个名为 b.vbs 的 VBScript 脚本文件。该文件用于执行后续攻击载荷。
在这里插入图片描述
第二轮混淆：b.vbs通过"Invoke-Expression"方法再次执行经过base64编码后的恶意代码。
在这里插入图片描述
第三轮混淆：base64解码后仍为经过混淆的powershell代码。
在这里插入图片描述
第四轮混淆：对powershll代码进行还原，我们发现该黑客团伙实现了如下功能：
在这里插入图片描述

1、通过下载7z解压组件保存至"C:\ProgramData\sevenZip\7z.exe"；
2、无限制轮询访问下图中4个恶意C2链接，当任意一个可以正常下载并通过密码解压至%temp%GUID目录,命名方式为随机的GUID；
3、随后尝试启动名为%temp%GUID目录SearchFilter.exe的程序。

在对该样本进行分析时，我们发现当前时间段内，该黑客组织似乎尚未激活后续的后门功能。这表明攻击者可能会在特定时间或满足某些条件后，远程激活后门，以实施进一步的攻击活动。基于这一推测，我们编写了针对性的监控脚本，对样本关联的四个恶意链接进行持续追踪，以便及时捕获其动态变化，从而深入分析其攻击链条。
在这里插入图片描述
功夫不负有心人。终于，在3月5日下午17点05分左右，我们成功捕获了后续攻击载荷。这一关键发现进一步验证了我们的推测，表明该黑客组织确实在特定时间或条件满足后才会激活后门。随后的分析揭示了其攻击链的更多细节。
在这里插入图片描述
显然该压缩包是一个Electron打包的项目。经过对所有可执行程序进行分析，未发现恶意代码。
解包分析项目的app.asar文件时,发现main.js存在大量混淆
在这里插入图片描述
解混淆后，该代码仍有2万多行，进一步分析，发现该js代码为一个javaScript编写的远控。
在这里插入图片描述
该javaScript远控至少包含以下功能：
1、获取受害机器IP
在这里插入图片描述
2、使用tg机器人作为主控
在这里插入图片描述
3、添加计划任务
在这里插入图片描述
4、添加defender扫描排除路径
在这里插入图片描述
5、bypass UAC
在这里插入图片描述
6、上线包，发送主机信息
在这里插入图片描述
7、截屏
在这里插入图片描述
8、结束进程
在这里插入图片描述
9、反虚拟机
在这里插入图片描述

溯源分析

随后，我们对该GitHub账户进行了进一步分析，发现了一个与该Github账户相关的黑客本地邮箱地址：“ischhfd83@rambler.ru”。这一发现为我们提供了有价值的线索。
在这里插入图片描述
我们进一步溯源该邮箱，令人震惊的是，GitHub上同时存在38个账户与该邮箱相关联。我们随即对这38个账户进行了详细分析，发现这些账户均为针对红队人员或其他技术开发者的钓鱼投毒账户。每个账户发布的恶意项目都有其独特的特点，旨在通过诱导受害者下载并运行恶意代码来获取控制权限。各账户名及发布恶意项目信息如下：

账户名项目名项目作用最近更新时间主要项目类型
MastrorzCS2-External-CheatCsgo作弊器今天游戏外挂
KYCOKXOTP-Bot-Telegramtelegram机器人今天tg机器人
Maskes4Ghost-Free-Fire-Cheat作弊器5个月游戏外挂
MyskHccrEncryptix-Crypter加密工具7个月加密工具
StupMainBitcoin-Auto-Withdraw比特币提款工具8个月比特币提款工具
McHellsCrypto-Wallet-Management钱包管理工具今天钱包管理工具
Андрей Смирнов/ joobinwaawEtherum-Balance-CheckerETH 余额检查工具11个月ETH 余额检查工具
YugrajVishwakarmaBitcoin-Auto-Withdraw比特币提款工具去年比特币钱包自动提款工具、机器人、hack_bot
ShelMaxsSleak-Crypter-FUD加密工具7个月加密工具
HoddorzCOD-DLL-InjectorDLL注入工具实现游戏作弊3个月DLL注入工具
TiggoProx8COD-Warzone-AIO-Tool-FULL-FeaturesDLL注入工具今天DLL注入工具
Mono-tgInteric-Fortnite-External-Cheat作弊器今天游戏作弊器
FunnyDuckyyMuck-Cheat-FULL-Source作弊器今天游戏作弊器
Check-WAutowithdraw提款工具今天提款工具
Mono-tgSubzero-Fortnite-Cheat作弊器今天游戏作弊器
d000tXWorm-5.6-FULL红队工具(远控项目)3个月红队工具、反沙箱工具、免杀工具、窃密程序
nodlezzzPhone-Number-Email-Verification-Bypass电子邮件认证绕过2年验证绕过
Rmejia39Discord-Token-Password-Stealer窃密工具9个月窃密程序、游戏作弊
DrMACSHAviator-Predictor-FULLAviator Predictor游戏3个月游戏
Kawa1skEmail-Bomber-SMTP电子邮件轰炸机4个月电子邮件轰炸机
CoinGmHccPhantom-Wallet-Web3-Solona-Laravel-React-Native-Sdk-Api加密钱包应用程序2年前加密钱包应用程序
HastornersPUBG-Cheat-Source作弊工具2个月作弊器
SnowjamilAviator-Predictor-FULLAviator Predictor游戏8个月游戏
KickhingReverse-Proxy-Soruce-Code反向代理工具5天反向代理工具
Oxygen1a1BioGuard-Hwid-Spoofer-Hwid-Changer-BIOS-CPU绕过反作弊系统6个月etw 钩子、监控 Windows 驱动程序、内核和驱动加密库
MirrorHang34rMines-Predictor-Bot-Casino-Strategies机器人3个月预测机器人
Ilyes009smg无项目介绍作弊工具、DLL注入工具、漏洞利用
HustleRolePlayIDFiveM-External作弊工具11个月作弊工具，网络安全从业者
HouseMadesSilverRAT-FULL-Source-CodeSilverRAT源码今天SilverRAT源码
OROSHTTRON-Telegram-Bot-TRX-Bot机器人今天Telegram 机器人
Snior-SSnapster-Trading-Bot机器人今天机器人
YeiwewBloxFlip-Mines-Tower-Predictor-Bot机器人今天机器人
OROSHTTelegram-CrystalPay-SEO-Bot机器人今天Telegram 机器人
AurelienConteHelldivers2-Internal-Cheat-FULL作弊工具去年比较多样化
UwurhDiscord-Nuke-Bot-Stable-Version作弊工具-销毁指定服务器今天窃密、销毁、作弊
user6974WinRAR-Exploit-Builderwinrar漏洞利用工具7个月漏洞利用工具
hmate9Valorant-Plus-Cheat作弊工具6个月作弊工具
DarkFaridNNova-FiveM-External-Hack作弊工具上周比较全面

IOC

IOC信息表
https://rlim[.]com/seraswodinsx/raw
https://popcorn-soft.glitch[.]me/popcornsoft.me
https://pastebin[.]com/raw/LC0H4rhJ
https://pastejustit[.]com/raw/tfauzcl5xj

小结

本次事件的曝光，揭示了APT组织正在加紧利用GitHub等开源平台进行社会工程攻击，并利用开源生态的信任机制来传播恶意代码。
进一步调查表明，此类攻击并非孤立事件，而是某APT组织正在利用GitHub这一开发者常用的平台，进行大规模的钓鱼攻击。攻击者通过创建多个虚假账户，伪装成红队开发者，诱骗开发者下载并执行恶意内容。这种攻击方式隐蔽性极高，难以通过传统安全手段检测和阻止。

第004文-模拟制作恶意软件对win10进行渗透
Blues的专栏
03-03 83
我们在无法突破对方的网络边界的时候，往往需要使用客户端渗透这种方式对目标发起攻击，比如我们向目标发一个含有后门的程序，或者exe的程序很多人会本能的防范不会去点击，那也可以伪装成是一个word文件，pdf文件，jpg图片等。想要达到效果的同时也要利用好社会工程学，来诱骗受害者执行恶意程序。
[系统安全] 十八.病毒攻防机理及WinRAR恶意劫持漏洞(bat病毒、自启动、定时关机、蓝屏攻击)
杨秀璋的专栏
02-03 7031
作者前文介绍了Windows PE病毒， 包括PE病毒原理、分类及感染方式详解；这篇文章将讲解简单的病毒原理和防御知识，并通过批处理代码和漏洞（CVE-2018-20250）利用让大家感受下病毒攻击的过程，提出了安全相关建议，包括自动启、修改密码、定时关机、蓝屏、进程关闭等功能。 这些基础性知识不仅和系统安全相关，同样与我们身边常用的软件、操作系统紧密联系，希望这些知识对您有所帮助，更希望大家提高安全意识，安全保障任重道远。
钓鱼攻击在GitHub发布虚假“安全告警”，使用OAuth 应用劫持账号
smellycat000的专栏
03-17 524
在“应用”屏幕，撤销对任何不熟悉或可疑的 GitHub Apps 或 OAuth 应用的访问权限，在本案例中可查找类似于 “gitsecurityapp” 的应用。如果GitHub 用户登录并授权恶意 OAuth 应用，则会生成一个访问令牌并被发回给改应用的回调地址，而在本钓鱼活动中，该地址有很多网页托管在onrender.com上。然而，这些操作建议指向了一款名为 “gitsecurityapp” 的 OAuth 应用的授权页面，要求获得很多风险很大的许可并允许攻击者完全访问用户账号和仓库。
[译] APT分析报告：05.Turla新型水坑攻击后门（NetFlash和PyFlash）
杨秀璋的专栏
10-24 7294
这是作者新开的一个专栏，主要翻译国外知名的安全厂商APT报告文章，了解它们的安全技术，学习它们溯源APT组织的方法，希望对您有所帮助。前文分享了一种新型无文件APT攻击Kraken，它会利用Windows错误报告服务逃避检测。这篇文章将介绍Turla新型水坑攻击后门（NetFlash和PyFlash），研究人员发现Turla对Armenian的知名网站发起水坑攻击，通过伪造Adobe Flash更新，欺骗受害者下载两个新型恶意软件NetFlash和PyFlash，从而实现恶意攻击，整个攻击的TTP基本没有变
【网络安全】七个最常见的黑客攻击技术，98%的人都遇到过（通俗易懂版）_数据库攻击常用手段
2402_84205067的博客
10-31 993
在世界人口近80亿的地球上，每天尚且发生数以百万计的抢劫打架斗殴事件，网络更是如此，网络攻防战几乎每时每刻都在发生。如果说打架斗殴枪击事件离我们还很远，那网络攻防战在你打开手机的时候就开始了！博主能力有限，暂不谈网络攻防具体操作实现过程，我们用通俗易懂的语言一块聊聊——神秘的“网络攻防”每当听到“网络攻防”这个名词，有没有一瞬间觉得很神秘？脑海中是否下意识的出现身穿黑色连衣帽的黑客中黑入某机构网站的场景？其实它并没有想象中的那么神秘，接下来我们一块唠唠常见的几种常见的网络攻防技术。
【网络安全】七个最常见的黑客攻击技术，98%的人都遇到过（通俗易懂版
2401_84302816的博客
05-02 1050
本文旨在用一些通俗易懂的大白话来聊网络攻防，科普的同时帮助大家增强网络防范的意识。这些例子是我对网络攻防的一些理解，可能具体细节不是很精准，但整体思路是对的。同时我想让更多非本专业的朋友们能了解网络攻击到底是什么，抛开定型化认知壁垒，它并没有想象的那么神秘，网络攻防就在我们身边，提高防范意识，才能在互联网中保护自己，保护家人。网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。
【网络安全】七个最常见的黑客攻击技术，98%的人都遇到过（通俗易懂版）
韩束一叶子
08-15 1234
在世界人口近80亿的地球上，每天尚且发生数以百万计的抢劫打架斗殴事件，网络更是如此，网络攻防战几乎每时每刻都在发生。如果说打架斗殴枪击事件离我们还很远，那网络攻防战在你打开手机的时候就开始了！博主能力有限，暂不谈网络攻防具体操作实现过程，我们用通俗易懂的语言一块聊聊——神秘的“网络攻防”每当听到“网络攻防”这个名词，有没有一瞬间觉得很神秘？脑海中是否下意识的出现身穿黑色连衣帽的黑客中黑入某机构网站的场景？其实它并没有想象中的那么神秘，接下来我们一块唠唠常见的几种常见的网络攻防技术。
【网络安全】七个最常见的黑客攻击技术，98%的人都遇到过（通俗易懂版）_数据库攻击常用手段 前言
jasonOI的博客
11-05 1003
前言在世界人口近80亿的地球上，每天尚且发生数以百万计的抢劫打架斗殴事件，网络更是如此，网络攻防战几乎每时每刻都在发生。如果说打架斗殴枪击事件离我们还很远，那网络攻防战在你打开手机的时候就开始了！博主能力有限，暂不谈网络攻防具体操作实现过程，我们用通俗易懂的语言一块聊聊——神秘的“网络攻防”每当听到“网络攻防”这个名词，有没有一瞬间觉得很神秘？脑海中是否下意识的出现身穿黑色连衣帽的黑客中黑入某机构网站的场景？其实它并没有想象中的那么神秘，接下来我们一块唠唠常见的几种常见的网络攻防技术。
2023年网络攻击事件盘点
热门推荐
网络安全
01-05 4万+
勒索软件事件发生不久后，威胁攻击者将盗取的数据信息发布在NoEscape勒索软件团伙泄露网站上，并在泄密帖子宣称盗取了ASVEL篮球队共32GB的数据，其中主要包括球员的护照和身份证、ASVEL的财务和税务数据、保密协议 (NDA)、球员球探合同以及其他机密信息。Dragos表示其公司网络和安全平台在攻击中并未遭到破坏，攻击者的横向移动、提权、加密、驻留等攻击手段大多被Dragos的多层安全控制和基于角色的访问控制挫败了，但攻击者成功入侵了该公司的SharePoint云服务和合同管理系统。
转载--无弹窗APT渗透实验
weixin_30321449的博客
03-20 428
转载--无弹窗APT渗透实验 文章作者：亚信安全，转载自 FreeBuf.COM APT攻击方式花样繁多，我研究最近的流行的APT攻击方式，在本地搭建环境模拟一次简单的APT攻击，在模拟攻击过程中发现网上公布的poc都会有大大小的缺陷，大多数poc执行过程中都会弹出一闪而过的黑框框，我深入分析这些脚本，修改其中的代码，使其执行的过程中消除那个一闪而过的黑框框，从而让中招的不会轻易产生怀疑。我...
被忽视的攻击面：Python package 钓鱼
weixin_33843947的博客
09-14 133
本文讲的是被忽视的攻击面：Python package 钓鱼， 一．概述 2017年6月2日，paper.seebug.org收录了一篇fate0的《Package钓鱼》文章，该文章讲述了作者在PyPI上投放恶意的Python包钓鱼的过程。当用户由于种种原因安装这些恶意包时，其主机名、Python语言版本、安装时间、用户名等信息会被...
[内网渗透]CobaltStrike4在Kali系统中实际应用
weixin_52891102的博客
09-22 1677
Cobalt Strike是一款渗透测试神器，常被业界人称为CS。因为它拥有多种协议主机上线方式，支持的协议比较多，而且功能也比较全面。集成了提权，凭据导出，端口转发，socket代理，office攻击，文件捆绑，钓鱼等功能，是一款APT攻击工具。
红队 | 社会工程学 | 邮件钓鱼 、木马伪装
哦 卷！
06-16 1254
社会工程学是一种特殊的攻击方式，与其他利用系统漏洞等网络攻击和入侵不同，社会工程学充分利用了人性中的“弱点”，包括本能反应、好奇心、信任、贪婪等，通过伪装、欺骗、恐吓、威逼等种种方式以达到目的。信息系统的管理者和使用者都是人，无论信息系统部署了多少安全产品，采取了多少有效的安全技术，如果系统的管理者或者使用者被利用，这些防护技术和措施都将成为摆设。人的因素才是系统的软肋，可以毫不夸张地说，人是信息系统安全防护体系中最不稳定也是最脆弱的环节。
[网络安全自学篇] 七十三.WannaCry勒索病毒复现及分析（四）蠕虫传播机制全网源码详细解读
杨秀璋的专栏
05-05 1万+
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了逆向分析OllyDbg动态调试工具的基本用法，包括界面介绍、常用快捷键和TraceMe案例分析。这篇文章将继续详细讲解WannaCry蠕虫的传播机制，带领大家详细阅读源代码，分享WannaCry勒索病毒是如何传播感染的。作者分析该病毒一个月，一方面觉得自己技术菜，另一方面深知系统安全需要坚持，继续加油。希望文章对您有所帮助~
运维打铁：域名详解及常见问题解决
互联网搬砖工老肖
04-28 731
在当今数字化的时代，互联网已经成为我们生活中不可或缺的一部分。当我们在浏览器中输入一个网址，如，就能轻松访问到对应的网站。但你是否想过，这个看似简单的网址背后，域名系统（Domain Name System，DNS）是如何工作的呢？本文将深入探讨域名的相关知识，包括基础概念、工作原理、常见问题及解决办法。域名是互联网上用于标识和定位计算机或网络服务的一串字符。它是 IP 地址的一种便于记忆的替代方式。例如，192.0.2.1是一个 IP 地址，而就是与之对应的域名。
MCP之一_MCP协议解析
最新发布
谢彦的技术博客
04-28 519
MCP（Model Context Protocol，模型上下文协议）是 Anthropic 在 2024 年底推出的一种开放协议，旨在实现大语言模型（LLM）与外部数据源、工具和应用程序之间的安全、高效互动。MCP 使得不同 AI 模型能够轻松连接到外部工具和数据源，而无需单独整合多个 API。传统上，整合外部工具需要处理各个 API 的代码、文档、认证方式、错误处理以及后续维护，增加了开发复杂度。MCP 的特点在于其“即插即用”功能，工具只需封装一次，即可与多种大模型 API 组合使用。
字节跳动在GitHub上有哪些开源项目
interpromotion的博客
04-23 1030
字节跳动（ByteDance）在GitHub上开源了许多项目，涵盖前端、后端、云原生、AI、数据库等多个领域。这些项目体现了字节跳动在技术领域的广泛投入，适合开发者学习或直接应用于生产环境。
第一章：Model Context Protocol (MCP)
qq_51279133的博客
04-24 1543
MCP如何成为LLM与工具间的“翻译官”通过简单配置就能让模型安全访问资源标准化协议如何简化复杂系统的协作接下来，我们将深入探索MCP服务器分类，了解不同类型的服务器如何解决具体问题——例如有的服务器连接数据库，有的则用于网络爬虫！📚 接下来，你将学会如何根据需求选择或定制自己的MCP服务器！
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值