一個Rust編寫的剪貼板劫持程序，配上虛構(gòu)的GitHub星標(biāo)和VirusTotal好評——當(dāng)安全工具的防線被層層突破，受害者把錢轉(zhuǎn)走后才發(fā)現(xiàn)，地址從一開始就不是自己的。

去年12月11日，威脅獵人團隊發(fā)出技術(shù)警告，一種新型的加密貨幣盜取手法開始浮出水面。這不是利用系統(tǒng)漏洞的野蠻攻擊，而是一場精心策劃的信任游戲。攻擊者在多個平臺搭建了一套看似完整的信譽體系，讓惡意軟件披上了“經(jīng)過社區(qū)驗證”的外衣。

Check Point Research的安全分析師還原了這場行動的完整鏈條。核心武器是一個用Rust語言編寫的剪貼板劫持器——Rust本身是開發(fā)者社區(qū)里備受推崇的編程語言，以高性能和底層控制能力著稱，這讓惡意代碼在運行效率和隱蔽性上都占盡優(yōu)勢。

它的工作原理粗暴卻致命：悄悄駐留在后臺，持續(xù)監(jiān)控剪貼板。一旦檢測到用戶復(fù)制了加密貨幣錢包地址，立刻將其替換為攻擊者控制的地址。轉(zhuǎn)賬完成的瞬間，資金進入的是錯誤的錢包，而區(qū)塊鏈交易的不可逆性讓受害者沒有任何補救機會。

虛假信譽的工業(yè)化生產(chǎn)

真正讓安全研究人員警覺的，是圍繞這個剪貼板劫持器建立的一整套欺騙生態(tài)。攻擊者運營著至少六個GitHub賬戶，包括Decryptor-j、crash-predictor1和roblox-script1等，通過幽靈網(wǎng)絡(luò)人為膨脹倉庫的星標(biāo)和分叉數(shù)。

其中一個代碼倉庫顯示146顆星標(biāo)和62次分叉，研究者判斷幾乎全部來自協(xié)同作業(yè)的虛假賬戶。僅從GitHub平臺統(tǒng)計，就有超過5000次下載記錄，其中1250次以上與一個名為“Aviator Predictor”的macOS工具有關(guān)。這些數(shù)字讓普通的開源項目看起來很活躍、很可信。

SourceForge平臺的數(shù)據(jù)更為夸張，總下載量達到44,485次，但研究者發(fā)現(xiàn)大部分下載行為存在異常——大量請求來自安卓設(shè)備，而該惡意軟件只有Windows和macOS版本。這強烈暗示攻擊者使用了安卓設(shè)備農(nóng)場來人為推高下載數(shù)據(jù)。

安全平臺的信譽操縱

欺騙鏈條還延伸到了VirusTotal這類安全檢測平臺。部分惡意樣本收到了良性投票和“安全”的社區(qū)評論。Check Point Research指出，這種對社區(qū)情緒的操縱，疊加原本就偏低的殺毒引擎檢出率，會同時誤導(dǎo)普通用戶和依賴信譽評分的自動化檢測系統(tǒng)。

文件本身不會因為幾個好評就變安全，但它看起來安全了——而這個“看起來”，已經(jīng)足夠讓謹(jǐn)慎的用戶放下戒備。

攻擊者的目標(biāo)用戶畫像十分清晰：加密貨幣交易員、在線博彩玩家，以及任何在網(wǎng)絡(luò)上尋找快速獲利捷徑的人。他們用虛假的Solana狙擊機器人、Aviator預(yù)測器和“崩潰游戲”預(yù)測工具作為誘餌，承諾能幫用戶在市場上搶跑或預(yù)判游戲結(jié)果。

這些工具沒有一個具備其宣稱的功能。它們唯一的用途，就是成為剪貼板劫持器的投遞載體。用戶以為自己在下載一個能賺錢的神器，實際上是在電腦里安裝了一雙時刻盯著自己錢包地址的眼睛。

傳播鏈條的全平臺布局

整個分發(fā)體系以一個WordPress釣魚網(wǎng)站作為中樞節(jié)點，向GitHub、SourceForge和YouTube等多個平臺輻射流量。YouTube頻道上充斥著用虛假賬號刷出的互動數(shù)據(jù)，讓演示視頻看起來備受追捧——就像那些真的能幫人盈利的工具一樣。

在Windows系統(tǒng)上，受害者下載一個ZIP壓縮包并運行其中的可執(zhí)行文件后，惡意程序便無聲地開始在后臺運行。這種欺騙架構(gòu)的完整程度在同類攻擊中相當(dāng)罕見——攻擊者不僅造了刀，還為這把刀配了一套全平臺的“質(zhì)檢認(rèn)證”。

當(dāng)一個開源項目在GitHub上有上百顆星標(biāo)，在SourceForge上有數(shù)萬次下載，在VirusTotal上有社區(qū)成員的“安全”評價，再加上YouTube上看似真實的用戶好評——這一連串信號構(gòu)成的信任鏈條，即便是有一定技術(shù)背景的用戶也很難全部識破。