SourceForge 被滥用：假冒微软 Office 插件暗藏加密货币矿工与剪贴板劫持器

据卡巴斯基实验室Kaspersky披露威胁行为者正滥用知名开源软件托管平台SourceForge分发伪装成微软 Office 插件的恶意软件。这些插件会在受害者电脑上悄然安装加密货币矿工和剪贴板劫持工具ClipBanker同时进行挖矿和窃取加密货币。What happens to your computer when you download pirated software | Kaspersky official blogSourceForge 项目页面左与 GitHub 合法项目对比右图片来源Kaspersky 相关报道SourceForge合法平台为何被利用SourceForge.net是一个广受欢迎的软件托管平台提供版本控制、错误跟踪、论坛和维基等功能在开源社区中享有盛誉。 虽然其开放的项目提交机制为恶意行为提供了空间但通过该平台传播恶意软件的情况其实极为罕见。此次攻击是较为独特的案例。卡巴斯基研究发现这一轮攻击已影响超过4604 台系统其中大部分位于俄罗斯。恶意项目虽已被 SourceForge 下架但搜索引擎已收录相关页面仍会吸引搜索“Office 插件”或类似关键词的用户访问。攻击如何伪装从搜索结果到恶意下载当用户在 Google 等搜索引擎中查询 Office 插件时结果常指向officepackage.sourceforge.io由 SourceForge 为项目所有者提供的独立 Web 托管功能支持。 该页面精心模仿合法开发者工具展示“Office 插件”和醒目的“下载”按钮。Cryptocurrency Miner and Clipper Malware Spread via SourceForge Cracked Software Listings恶意伪装页面officepackage.sourceforge.io页面以俄语界面呈现大量微软 Office 下载链接诱导用户点击。点击任意按钮后用户会下载一个包含密码保护归档文件installer.zip和密码提示文本的 ZIP 包。解压后是一个体积膨胀至约700MB的 MSI 安装程序installer.msi这种“大体积”设计旨在绕过反病毒软件的扫描。A miner and the ClipBanker Trojan being distributed via SourceForge | Securelist诱导下载页面示例红色箭头指向伪造的下载链接完整的感染链多阶段恶意载荷MSI 文件运行后会释放 UnRAR.exe 和 RAR 归档随后执行 Visual Basic 脚本从 GitHub 下载批处理脚本confvk.bat。 该脚本会检查运行环境是否为沙箱和活跃的反病毒产品若通过检测则继续下载另一个批处理脚本confvz.bat并解压 RAR 文件。批处理脚本通过修改注册表和添加 Windows 服务实现持久化控制。最终释放的核心文件包括AutoIT 解释器Input.exeNetcat 反向 Shell 工具ShellExperienceHost.exe两个 DLL 有效载荷Icon.dll 和 Kape.dllRaspberry Robin worm part of larger ecosystem facilitating pre-ransomware activity | Microsoft Security Blog类似多阶段恶意软件感染链示意图供参考实际攻击流程类似Icon.dll注入加密货币矿工窃取 CPU/GPU 算力为攻击者挖矿Kape.dll则注入剪贴板劫持器ClipBanker监控用户复制的加密货币钱包地址并自动替换为攻击者控制的地址。此外攻击者通过 Telegram API 接收受感染系统的详细信息并可通过同一通道推送额外恶意载荷。What happens to your computer when you download pirated software | Kaspersky official blog恶意项目与合法 GitHub 项目并排对比再次强调伪装手法安全建议这次事件再次证明攻击者善于利用合法平台的信任背书来获取虚假合法性并绕过防护。用户防护建议优先从官方出版社或可信来源如 Microsoft 官网、GitHub 官方仓库下载软件。下载前使用最新版反病毒软件如 Kaspersky进行全面扫描。警惕搜索引擎结果中的不明下载链接尤其是伪装成“破解版”或“免费插件”的内容。避免下载体积异常大或要求输入密码的归档文件。SourceForge 已迅速响应并移除相关恶意项目但搜索引擎缓存仍需时间清除。保持警惕是最佳防护。