今年3月，Netskope Threat Labs的分析師在例行掃描時(shí)發(fā)現(xiàn)了一個(gè)反?，F(xiàn)象：某款"Docker部署工具"的代碼片段在沙箱里乖巧如貓，在真實(shí)機(jī)器上卻暴起發(fā)難。這種精神分裂式的行為，揭開了過去半年最隱蔽的開發(fā)者狩獵行動(dòng)。

一個(gè)568星開發(fā)者的"信用背書"

攻擊者選中的偽裝殼是OpenClaw——一個(gè)正經(jīng)的AI代理項(xiàng)目。他們注冊(cè)的倉庫叫AAAabiola/openclaw-docker，README寫得像模像樣，Windows和Linux雙平臺(tái)安裝指南齊全，甚至配了個(gè)獨(dú)立的GitHub.io宣傳頁。

更狡猾的是 contributors 名單。其中一位關(guān)聯(lián)賬戶擁有568星的真實(shí)項(xiàng)目，這種"借殼上市"讓倉庫在GitHub搜索里自帶光環(huán)。攻擊者還批量注冊(cè)小號(hào)刷星標(biāo)、刷分支，再貼上ai-agentsdockerLLM等熱門標(biāo)簽——精準(zhǔn)踩中開發(fā)者2025年的搜索關(guān)鍵詞。

Netskope團(tuán)隊(duì)后來確認(rèn)，這套話術(shù)模板被復(fù)制到了300多個(gè)交付包中。游戲外掛、手機(jī)追蹤器、VPN破解工具、Roblox腳本，全是高搜索量但官方渠道不愿碰的灰色需求。

三件套拼圖：專殺自動(dòng)化掃描

這套攻擊的技術(shù)核心藏在ZIP文件的結(jié)構(gòu)設(shè)計(jì)里。每個(gè)惡意包內(nèi)含三件物品：Launch.bat、重命名為unc.exe的LuaJIT運(yùn)行時(shí)、以及偽裝成license.txt的混淆Lua腳本。

單獨(dú)拎出任何一件送檢，殺毒引擎都報(bào)"干凈"。unc.exe是合法運(yùn)行時(shí)，license.txt是文本文件，Launch.bat不過是幾行調(diào)用指令。威脅只在特定順序執(zhí)行時(shí)激活——batch腳本先啟動(dòng)運(yùn)行時(shí)，再加載Lua腳本，兩者咬合瞬間才釋放惡意代碼。

這直接針對(duì)了行業(yè)通行的自動(dòng)化分析邏輯：沙箱通常孤立檢測(cè)單個(gè)文件，很少模擬"用戶雙擊bat→bat調(diào)用exe→exe讀取txt"的完整鏈條。攻擊者用文件關(guān)系鏈而非代碼混淆來隱身，相當(dāng)于給病毒穿了件"合規(guī)"外衣。

咬合后的 payload 會(huì)執(zhí)行五層反分析檢查：調(diào)試器探測(cè)、內(nèi)存容量閾值、系統(tǒng)運(yùn)行時(shí)長、虛擬化痕跡、屏幕分辨率異常。任何一條觸發(fā)就靜默退出，不留日志。

AI批量生產(chǎn)的痕跡藏在拉丁文里

調(diào)查中最讓分析師警覺的是目錄命名規(guī)律。300多個(gè)誘餌包的文件夾名稱混雜著冷門生物分類學(xué)術(shù)語、古拉丁詞匯和醫(yī)學(xué)名詞——比如某種已滅絕的甲蟲屬名、中世紀(jì)解剖學(xué)用語。

這種"人類不會(huì)這么取名"的隨機(jī)性，強(qiáng)烈指向AI輔助生成。攻擊者 likely 用大型語言模型批量產(chǎn)出看似專業(yè)、實(shí)則無意義的命名，既避免重復(fù)暴露關(guān)聯(lián)，又能在搜索結(jié)果里顯得"技術(shù)感十足"。

所有成功感染的機(jī)器會(huì)立即被地理定位，完整桌面截圖上傳至法蘭克福的C2服務(wù)器。后端采用八IP負(fù)載均衡架構(gòu)，明顯為大規(guī)模并發(fā)設(shè)計(jì)。

時(shí)間線回溯發(fā)現(xiàn)，攻擊者Telegram頻道@NumberLocationTrack（運(yùn)營者化名TroyDen）早在2025年6月就已活躍，比GitHub倉庫出現(xiàn)早了數(shù)月。這意味著整個(gè)基礎(chǔ)設(shè)施是預(yù)謀搭建，而非 opportunistic 的短期投機(jī)。

開發(fā)者社區(qū)的信任悖論

GitHub作為開源生態(tài)的默認(rèn)基礎(chǔ)設(shè)施，其信任機(jī)制正被系統(tǒng)性利用。星標(biāo)數(shù)、貢獻(xiàn)者歷史、README完整度——這些本用于篩選質(zhì)量的信號(hào)，如今被精準(zhǔn)偽造。攻擊者甚至不需要劫持高價(jià)值賬戶，只需在 contributors 里塞一個(gè)"有星標(biāo)的人"，就能蹭到光環(huán)效應(yīng)。

Netskope的檢測(cè)數(shù)據(jù)顯示，這類"分裂式payload"在2024年下半年開始抬頭，但OpenClaw戰(zhàn)役是首個(gè)被完整拆解的規(guī)模化案例。LuaJIT作為小眾運(yùn)行時(shí)，其檢測(cè)覆蓋率本就低于Python或Node生態(tài)，這次被選中絕非偶然。

對(duì)于每天從GitHub拉代碼的開發(fā)者，這個(gè)案例留下一個(gè)不舒服的問題：當(dāng)你看到500+星、有"真實(shí)"貢獻(xiàn)者、文檔齊全的倉庫時(shí)，你驗(yàn)證過它的行為邏輯嗎？還是像這次的三件套攻擊所賭定的那樣——你只會(huì)git clone然后直接運(yùn)行安裝腳本？