過去一年，GitHub上被標(biāo)記的惡意倉庫數(shù)量翻了3倍。但這場代號(hào)"TroyDen's Lure Factory"的 campaign，把偽裝精度抬到了新高度——它沒偷代碼，而是直接造了一整個(gè)可信的開發(fā)生態(tài)。

Netskope Threat Labs 的研究員在排查一個(gè)異常流量時(shí)，發(fā)現(xiàn)了這個(gè)橫跨開發(fā)者、游戲玩家、Roblox用戶和加密貨幣持有者的釣魚網(wǎng)絡(luò)。攻擊者用AI批量生成300多個(gè)投遞包，每個(gè)都針對特定人群的需求定制誘餌。

一個(gè)568星開發(fā)者的"幽靈項(xiàng)目"

整個(gè)陷阱的核心是倉庫 AAAbiola/openclaw-docker。它偽裝成合法OpenClaw AI項(xiàng)目的Docker部署工具，README寫得像模像樣，Windows和Linux雙平臺(tái)安裝指南齊全，還配了獨(dú)立的GitHub.io頁面。

contributors列表里有個(gè)賬號(hào)擁有568星的真實(shí)項(xiàng)目，這種"借殼"操作讓倉庫看起來像是正經(jīng)開發(fā)者的副業(yè)。攻擊者還注冊了大批僵尸號(hào)刷星標(biāo)和fork，標(biāo)簽精準(zhǔn)打上ai-agents、docker、openclaw、LLM——全是開發(fā)者高頻搜索詞。

Netskope的研究員發(fā)現(xiàn)，這個(gè)倉庫的命名規(guī)律暴露了AI參與的痕跡。300多個(gè)投遞包的目錄名混雜著冷門生物分類學(xué)術(shù)語、古拉丁語和醫(yī)學(xué)詞匯，「這種組合不像人類會(huì)用的命名習(xí)慣」，報(bào)告里寫道。

攻擊者把GitHub的搜索算法當(dāng)成了免費(fèi)廣告位

受害者一旦下載，惡意ZIP包里藏著三重機(jī)關(guān)：Launch.bat批處理文件、改名后的LuaJIT運(yùn)行時(shí)unc.exe、以及偽裝成license.txt的混淆Lua腳本。單獨(dú)提交任何一份到自動(dòng)掃描平臺(tái)，結(jié)果都是"干凈"的。

只有當(dāng)bat文件按特定順序調(diào)用另外兩個(gè)組件，惡意代碼才會(huì)激活。這直接利用了主流沙箱的弱點(diǎn)——它們習(xí)慣把文件拆開分析，而不是模擬完整的執(zhí)行鏈條。

激活后的payload會(huì)執(zhí)行五層反分析檢測：查調(diào)試器、看內(nèi)存大小、測系統(tǒng)運(yùn)行時(shí)長、掃進(jìn)程列表、驗(yàn)屏幕分辨率。任何一條沒過，就原地休眠，不留下可追蹤的行為指紋。

法蘭克福的8臺(tái)服務(wù)器與2025年6月的Telegram頻道

所有成功感染的機(jī)器，第一時(shí)間會(huì)被定位地理坐標(biāo)，完整桌面截圖直傳法蘭克福的C2集群。后端用了8個(gè)IP做負(fù)載均衡，架構(gòu)明顯是為大規(guī)模并發(fā)設(shè)計(jì)的。

研究員順藤摸瓜，找到一個(gè)2025年6月就注冊的Telegram頻道@NumberLocationTrack，運(yùn)營者署名TroyDen。這意味著GitHub倉庫上線前，攻擊者的基礎(chǔ)設(shè)施已經(jīng)運(yùn)轉(zhuǎn)了數(shù)月。

誘餌類型鋪得極散：游戲外掛、手機(jī)追蹤器、VPN破解工具、Roblox腳本——全是灰色需求旺盛的領(lǐng)域。每個(gè)細(xì)分人群都有自己的"專屬倉庫"，但后臺(tái)連的是同一套德國服務(wù)器。

這種"分倉運(yùn)營、統(tǒng)一收割"的模式，讓單點(diǎn)暴露的風(fēng)險(xiǎn)被攤薄到接近零

LuaJIT的選擇本身也是技術(shù)考量的結(jié)果。這種即時(shí)編譯的Lua方言，能把腳本打包成接近原生二進(jìn)制性能的執(zhí)行文件，同時(shí)保持腳本語言的靈活性。對攻擊者來說，這意味著更容易混淆、更難被靜態(tài)分析工具拆解。

Netskope的檢測數(shù)據(jù)顯示，這類"分體式payload"的檢出率比傳統(tǒng)單文件木馬低40%以上。不是因?yàn)闅⒍拒浖內(nèi)趿?，而是自?dòng)化分析管道天生擅長看"一個(gè)文件在干什么"，而不是"三個(gè)文件配合起來會(huì)干什么"。

當(dāng)開源平臺(tái)的信任機(jī)制成為攻擊面

GitHub的星標(biāo)、fork數(shù)、contributor頭像、README排版——這些原本幫開發(fā)者快速判斷項(xiàng)目質(zhì)量的信號(hào)，被攻擊者系統(tǒng)性地逆向工程成了信任制造流水線。

568星的真實(shí)開發(fā)者賬號(hào)怎么被卷入的？目前尚無定論?？赡苁潜槐I用的身份，也可能是攻擊者自己養(yǎng)號(hào)多年的長線投資。無論哪種，都說明這個(gè) threat actor 的資源投入遠(yuǎn)超普通黑產(chǎn)團(tuán)伙。

Roblox玩家和加密貨幣用戶被同時(shí) targeting 也不是偶然。兩個(gè)群體重疊度高：年輕、技術(shù)好奇心強(qiáng)、愿意為了"優(yōu)勢"冒險(xiǎn)運(yùn)行來路不明的代碼，且數(shù)字資產(chǎn)變現(xiàn)路徑短。

「我們觀察到攻擊者在 Telegram 頻道里測試新誘餌的轉(zhuǎn)化率」，Netskope 研究員在報(bào)告中提到。這種"敏捷開發(fā)"式的攻擊迭代，讓防御方很難用靜態(tài)情報(bào)庫跟上節(jié)奏。

GitHub 官方在 Netskope 披露后下架了相關(guān)倉庫，但攻擊者的賬號(hào)體系、僵尸號(hào)網(wǎng)絡(luò)、以及那8臺(tái)法蘭克福服務(wù)器背后的基礎(chǔ)設(shè)施，大概率已經(jīng)遷移到了新的偽裝項(xiàng)目下。

對于每天依賴GitHub搜索框找工具的開發(fā)者來說，下次看到"安裝前關(guān)閉殺毒軟件"的提示時(shí)，你會(huì)先檢查倉庫的commit歷史，還是直接點(diǎn)下那個(gè)綠色的Code按鈕？