2026年6月底安全社区曝光一起大规模开源供应链投毒事件。威胁团伙在GitHub批量注册上线292个高仿仓库复刻Arctic Wolf、WinGUP等数百个主流安全、开发、金融品牌项目借助搜索引擎SEO权重抢占前排流量定向分发携带BoryptGrab窃密木马的恶意安装包。这轮攻击和普通病毒木马有本质区别。攻击者没有使用特征明显的裸木马文件而是采用合法签名程序恶意DLL侧加载内存反射执行的组合攻击方式全程极少磁盘落地痕迹传统杀毒、EDR静态查杀几乎无法拦截。更关键的是该木马实现了业界少见的Chrome App-Bound Encryption绕过能力可以直接窃取浏览器加密保护的账号凭证、Cookie数据。攻击目标高度聚焦开发者、加密货币从业者、运维人员。这类人群终端存储大量API密钥、代码仓库令牌、钱包私钥、服务器凭证一旦中招会引发数据泄露、资产被盗、供应链二次投毒等连锁风险。本文从攻击链路、技术原理、现场排查、溯源方法、防御加固五个维度完整落地实战攻防内容同时提供可直接复用的检测脚本与自查清单。一、攻击全景292个高仿仓库的规模化供应链投毒链路本次攻击不是零散的单点钓鱼而是标准化、流水线式的批量投毒作业。威胁团伙统一模板批量搭建高仿仓库统一优化搜索关键词统一部署恶意下载页面形成完整的引流、落地、窃密、回传闭环攻击体系。团伙从2026年6月26日开始集中批量部署资产累计上线292个GitHub恶意仓库覆盖网络安全工具、系统更新程序、加密钱包客户端、开发者脚手架、社交娱乐工具等多领域知名品牌。部分仓库直接复刻本次曝光厂商Arctic Wolf的官方项目页面README文案、项目介绍、版本更新话术、界面截图全部高仿普通开发者无法通过肉眼快速区分真伪。流量获取是本次攻击的核心优势。攻击者针对性堆砌官方项目核心关键词微调页面SEO权重让恶意仓库在Google、Bing以及GitHub站内搜索的排名大幅靠前。大量用户在检索工具、下载源码、更新程序时会直接点击排名靠前的高仿仓库落入攻击陷阱。所有恶意仓库的引流逻辑完全一致。页面内部隐藏隐蔽式下载跳转链接表面展示官方下载入口实际跳转至攻击者搭建的伪造静态下载页面提供压缩格式的安装包。压缩包内部文件经过精心伪装规避用户警觉与安全设备检测。恶意安装包的核心伪装手段为白名单程序捆绑恶意组件。包内自带具备合法数字签名的WinGUP更新程序程序签名信息完整有效系统和安全软件的基础校验机制会直接放行。攻击者替换程序依赖的libcurl.dll文件植入木马化改造后的恶意组件依靠合法程序的运行逻辑触发恶意代码执行。截至目前GitHub官方已下架大部分显性恶意仓库但团伙仍在持续注册新账号、搭建衍生高仿仓库替换品牌名称和项目关键词继续传播。市面上没有形成统一的恶意仓库特征库企业和个人开发者很难批量拦截。BoryptGrab木马的窃取范围覆盖高价值核心资产针对性极强。终端成功被植入后会自动扫描并窃取19款主流浏览器的本地密码库、支付凭证、会话Cookie遍历本地32种加密货币钱包的配置文件与私钥存储目录导出明文资产凭证抓取Telegram、Discord、Steam等平台的本地登录令牌实现账号劫持。同时专门针对开发者环境扫描本地API密钥、Git仓库令牌、服务器配置文件、工程密钥还支持Windows凭据抓取、屏幕截图、文档遍历等拓展行为所有窃取数据加密打包后回传至境外C2服务器。1.1 完整攻击流程可视化以下流程图完整还原从用户检索到数据回传的全攻击链路清晰展示每一个攻击环节的核心操作与规避手段A[攻击者批量搭建292个高仿GitHub仓库] -- B[SEO优化抢占搜索前排流量]B -- C[用户搜索工具/源码误点恶意仓库]C -- D[点击隐藏链接下载恶意ZIP安装包]D -- E[解压得到合法签名WinGUP恶意libcurl.dll]E -- F[运行更新程序触发DLL侧加载]F -- G[恶意DLL执行内存反射注入]G -- H[内存加载BoryptGrab无磁盘落地]H -- I[绕过Chrome加密窃取浏览器凭证]I -- J[遍历终端窃取钱包/密钥/令牌数据]J -- K[加密打包数据回传境外C2服务器]二、核心技术实战拆解DLL侧加载内存反射执行底层原理本次攻击的隐蔽性远超常规木马核心原因在于全程规避磁盘落地、文件特征、静态注册表篡改等传统检测特征。攻击者组合使用DLL侧加载与内存反射执行两项技术让恶意代码完全寄生在合法进程内存中运行终端日志和查杀工具很难捕捉有效攻击痕迹。2.1 DLL侧加载白带黑的合法进程寄生攻击DLL侧加载并非新型漏洞但本次攻击将该技术的伪装性用到了极致。Windows系统下的大量正规程序具备固定的依赖加载逻辑程序启动时会自动检索同级目录、系统目录下的指定DLL文件并加载调用。WinGUP更新程序具备完整的官方数字签名属于全网通用的可信白名单程序主流安全软件默认放行其所有运行权限。该程序启动时会强制加载同级目录下的libcurl.dll文件用于实现网络请求、版本校验、资源下载功能。攻击者保留原版DLL的文件名、基础导出接口、文件版本信息仅对核心代码进行木马化改造。改造后的恶意DLL可以完美适配WinGUP的调用逻辑程序启动、运行、更新流程完全正常不会出现闪退、报错、弹窗异常等能够被用户察觉的问题。用户执行合法更新程序的瞬间系统以合法程序权限加载恶意DLL绕过系统权限校验、进程白名单拦截、文件信誉检测。恶意代码依托WinGUP合法进程上下文运行全程无新建恶意进程、无陌生服务启动、无注册表异常写入基础终端防护设备无法识别异常行为。2.2 内存反射执行零磁盘落地规避全量静态查杀多数传统木马需要将恶意EXE、DLL、脚本文件落地到本地磁盘通过启动项、计划任务、服务维持驻留这类操作会产生明确的文件特征、行为特征可被静态特征库、行为规则库拦截。BoryptGrab完全摒弃了落地驻留逻辑采用内存反射注入技术实现纯内存运行。恶意libcurl.dll被加载后不会在磁盘写入任何新文件、不修改任何系统配置。DLL内部预置加密后的木马载荷加载完成后会在当前进程内存空间内完成载荷解密、内存映射、函数重定位、线程创建全流程操作。整个执行过程闭环于内存磁盘无任何恶意样本留存。静态查杀工具扫描全盘文件无法匹配任何恶意特征传统的文件校验、哈希比对、恶意文件检索手段全部失效。同时木马运行结束后临时内存数据会随进程关闭自动销毁终端几乎无日志留存事后溯源取证难度极大。2.3 整体技术架构可视化下图展示本次攻击的技术分层架构清晰区分伪装层、加载层、执行层、窃密层、回传层的核心能力subgraph 伪装引流层S1[高仿品牌GitHub仓库]S2[SEO搜索流量劫持]S3[合法签名程序伪装]endsubgraph 加载触发层L1[WinGUP合法进程启动]L2[劫持libcurl.dll依赖加载]L3[白名单权限绕过防护]endsubgraph 核心执行层E1[DLL恶意代码初始化]E2[内存载荷解密映射]E3[反射执行无磁盘落地]endsubgraph 窃密突破层P1[Chrome进程内存注入]P2[App-Bound加密绕过]P3[凭证/钱包/密钥批量窃取]endsubgraph 数据输出层O1[敏感数据加密打包]O2[隐匿网络隧道传输]O3[境外C2服务器落地存储]endS1 -- S2 -- S3 -- L1 -- L2 -- L3 -- E1 -- E2 -- E3 -- P1 -- P2 -- P3 -- O1 -- O2 -- O3三、关键突破Chrome App-Bound Encryption绕过实战原理Chrome App-Bound Encryption是谷歌为解决本地凭证泄露推出的核心防护机制长期以来被视为浏览器本地数据的安全屏障。本次BoryptGrab木马实现的绕过技术打破了传统浏览器凭证防护逻辑也是其窃取效率远超普通窃密木马的核心原因。3.1 原生加密机制核心防护逻辑Chrome会将用户保存的网站账号、密码、Cookie、表单数据进行加密存储加密密钥不采用固定本地密钥而是绑定浏览器进程身份、设备硬件标识、系统环境特征生成唯一密钥。即便攻击者通过权限遍历、文件复制等方式获取到Chrome本地的Login Data、Cookie加密数据库文件脱离原生Chrome进程的运行环境后无法获取匹配的绑定密钥无法解密明文数据。该机制从根源上杜绝了传统的本地数据库导出窃取攻击。3.2 内存劫持绕过核心细节BoryptGrab放弃破解静态加密文件、脱离环境解密的传统思路直接介入浏览器运行时内存链路完成数据窃取。木马在内存激活后会精准检索本机运行的Chrome进程通过Windows原生API实现进程附着与内存读写。Chrome在用户访问网站、自动填充密码、刷新会话时会将加密的本地凭证解密为明文临时存放在进程内存中供程序调用。攻击者抓住这一短暂窗口期实时劫持内存中的临时解密密钥与明文凭证数据。该攻击方式完全规避App-Bound绑定校验逻辑不需要破解加密算法、不需要伪造设备环境、不需要窃取持久化密钥。只要浏览器处于运行状态即可批量抓取所有已解密的会话数据与账号凭证覆盖19款基于Chromium内核开发的主流浏览器。四、终端实战检测可直接复制的查杀与溯源脚本针对本次BoryptGrab木马无磁盘落地、纯内存运行的特性常规杀毒扫描无法有效检测。本节提供可直接部署的批量检测脚本适配Windows终端可快速排查恶意DLL加载、异常Chrome进程注入、WinGUP异常运行行为。4.1 终端异常进程与DLL加载检测脚本PowerShell该脚本可扫描本机WinGUP进程、可疑libcurl.dll加载行为、Chrome异常内存注入痕迹输出详细检测日志可直接复制运行# BoryptGrab木马终端专项检测脚本# 检测时间2026-07-20Write-Host 开始检测WinGUP可疑进程与恶意DLL加载 -ForegroundColor Cyan# 1. 检测WinGUP运行进程$wingupProcGet-Process-Namewingup-ErrorAction SilentlyContinueif($wingupProc){Write-Host[警告] 检测到WinGUP进程正在运行PID$($wingupProc.Id)-ForegroundColor Red# 读取进程加载的DLL列表$dllList$wingupProc|Select-Object-ExpandProperty Modules|Where-Object{$_.FileName-matchlibcurl.dll}if($dllList){Write-Host[高危] WinGUP进程加载可疑libcurl.dll路径$($dllList.FileName)-ForegroundColor Red}}else{Write-Host[正常] 未检测到WinGUP运行进程-ForegroundColor Green}# 2. 检测Chrome异常注入行为$chromeProcGet-Process-Namechrome-ErrorAction SilentlyContinueforeach($procin$chromeProc){$remoteThreadGet-WmiObject-ClassWin32_Thread|Where-Object{$_.ProcessHandle-eq$proc.Id-and$_.StartAddress-notmatchchrome.exe}if($remoteThread){Write-Host[警告] Chrome进程存在异常远程线程注入PID$($proc.Id)-ForegroundColor Yellow}}# 3. 检测近期下载的可疑ZIP安装包$downloadPath$env:USERPROFILE\Downloads$suspiciousFileGet-ChildItem-Path$downloadPath-Filter*.zip-Recurse|Where-Object{$_.LastWriteTime-gt(Get-Date).AddDays(7)}if($suspiciousFile){Write-Host[提示] 近7天可疑压缩包文件$($suspiciousFile.Name)-ForegroundColor Yellow}else{Write-Host[正常] 近7天无可疑压缩包文件-ForegroundColor Green}Write-Host 检测完成请根据日志排查风险 -ForegroundColor Cyan4.2 手动溯源排查关键点位脚本检测完成后可配合手动排查进一步确认风险。优先查看系统下载目录、桌面、临时目录中是否存在近期陌生ZIP更新包检查任务管理器中WinGUP进程的加载模块核对libcurl.dll的数字签名与文件哈希查看浏览器近期下载记录确认是否从非官方GitHub仓库下载工具包。若检测到异常进程与DLL加载行为立即结束WinGUP及可疑Chrome进程删除恶意安装包与目录文件重置浏览器所有登录凭证轮换所有本地存储的API密钥、Git令牌、云服务凭证。五、GitHub假冒仓库人工极速自查清单开发者专用攻击者持续迭代高仿仓库单一工具无法实现批量拦截开发者必须建立人工自查习惯。结合292个恶意仓库的统一特征整理出可落地的五层核验规则适配日常开源依赖检索、下载场景。第一核验账号主体资质。正规商业品牌、安全工具、官方开源项目均持有GitHub官方蓝色认证标识账号注册时间久、迭代记录连续、提交日志稳定。恶意仓库全部为新注册账号无任何认证标识提交记录集中在短短数天内无长期版本迭代、无社区Commit记录。第二核查页面跳转链接。高仿仓库的README文档排版、文案和官方高度一致唯一区别是暗藏外部下载跳转链接。正规项目仅依托GitHub官方资源、官方品牌域名展示下载入口不会跳转至陌生第三方静态页面。遇到仓库内非官方域名的下载链接直接判定为风险仓库。第三校验版本迭代逻辑。恶意仓库频繁推送“最新优化版”“漏洞修复版”引流话术但仓库内部无对应代码提交记录、无版本标签、无更新日志说明。正规项目的每一次版本更新都可以追溯代码改动、Issue修复记录、开发者签名。第四检查安装包文件结构。本次所有恶意安装包都存在固定特征合法签名主程序未知来源改造DLL文件。官方安装包文件结构固定不会额外附带无声明的依赖DLL用户解压后可快速比对文件列表是否异常。第五甄别搜索结果权重。不要盲目信任搜索排名。优先选择GitHub官方置顶、Star数量高、Fork量大、社区Issue活跃的仓库。对于排名靠前但粉丝、互动、迭代数据极低的陌生仓库直接规避下载。六、全场景防御加固方案个人/企业开发者通用本次攻击暴露的核心问题不是单一漏洞而是开发者长期存在的终端信任滥用、密钥明文存储、开源依赖无校验的安全短板。结合攻击链路从资产、终端、密钥、供应链四个维度落地可落地的加固策略。6.1 加密资产防护隔离本地钱包风险所有大额加密资产统一使用硬件钱包离线存储杜绝浏览器插件钱包、本地软件钱包留存私钥。关闭钱包软件自动登录、本地记住凭证功能定期清理浏览器钱包缓存数据。日常小额交易使用临时钱包地址避免核心资产凭证留存在可被内存劫持的终端环境中。6.2 密钥凭证管理彻底杜绝明文本地存储开发者禁止在配置文件、代码注释、本地文档、浏览器缓存中明文存储API密钥、数据库密码、Git令牌、服务器SSH密钥。统一采用专业密钥管理工具、系统环境变量加密存储敏感凭证。代码提交前强制脱敏配置文件纳入.gitignore忽略列表避免密钥随代码上传开源仓库。固定周期轮换所有平台密钥与令牌缩小泄露风险面。6.3 终端安全策略拦截内存与DLL侧加载攻击终端开启EDR、杀毒软件的DLL加载校验、远程线程注入监控、内存行为检测功能拦截未知进程注入、非可信DLL加载行为。关闭所有陌生软件的自动更新权限仅允许官方渠道更新程序运行。精简浏览器无用插件限制第三方程序对Chrome、Edge等浏览器进程的读写权限阻断内存劫持链路。6.4 开源供应链管控规范依赖引入流程企业和个人统一建立开源依赖引入规范所有工具、源码、依赖包仅从官方GitHub仓库、官方官网渠道获取禁止通过搜索引擎外链、第三方网盘、小众分享站点下载资源。引入依赖前必须核验仓库主体、迭代记录、社区口碑、版本合规性。项目本地与CI/CD流程开启依赖安全扫描自动识别恶意DLL、内存注入类高危组件。七、事件总结与行业安全启示BoryptGrab木马大规模传播事件标志着开源供应链攻击进入精细化、规模化、高隐蔽性的新阶段。攻击者不再依赖简单的病毒投毒而是结合品牌仿冒、SEO流量劫持、合法程序寄生、内存级高阶绕过技术打造低门槛、高危害、难溯源的标准化攻击链路。传统终端防护、被动查杀模式已经无法适配当前的供应链攻击形势。内存无落地执行、浏览器原生加密绕过、可信程序白名单寄生等技术让大量传统安全设备彻底失效。对于开发者而言开源生态的信任风险远大于系统漏洞风险每一次陌生开源工具下载、每一次依赖引入都可能成为供应链入侵的入口。未来开源安全防护的核心不再是事后查杀而是事前溯源、事中监控、事后轮换的全流程管控。只有建立标准化的仓库核验、依赖检测、密钥管理、终端加固体系才能有效抵御常态化的供应链投毒攻击。互动提问1. 你日常开发中是否有通过搜索引擎下载开源工具的习惯后续会优先采用哪些核验方式规避高仿恶意仓库2. 你的本地终端是否存在明文存储API密钥、钱包凭证的情况准备通过哪些方式完成终端安全加固