網(wǎng)絡(luò)安全研究人員最近發(fā)現(xiàn)了一起精心設(shè)計的網(wǎng)絡(luò)間諜活動，攻擊者用了一個讓人意想不到的組合拳： humanitarian aid（人道主義援助）的溫情外衣，加上GitHub這個開發(fā)者最信任的代碼平臺。

這起被命名為"HumanitarianBait"的攻擊活動，表面看起來平平無奇，實際技術(shù)含量卻相當(dāng)高。Cyble Research and Intelligence Labs的安全分析師追蹤了整個攻擊鏈條，發(fā)現(xiàn)幕后黑手在"讓攻擊顯得正常"這件事上下了不少功夫。

攻擊的起點是一封釣魚郵件，附件是一個RAR壓縮包。包里藏著一個Windows快捷方式文件（LNK文件），偽裝成俄語 humanitarian aid申請表。受害者一旦雙擊，感染流程就在后臺悄然啟動，同時屏幕上會彈出一個制作精良的文檔來降低警惕性。

但真正讓安全人員警覺的，是攻擊者對GitHub的巧妙利用。他們沒有把惡意代碼直接扔進(jìn)代碼倉庫——那里是自動化掃描工具的重點監(jiān)控區(qū)域。相反，他們選擇了GitHub Releases這個相對冷清的角落。Release附件受到的自動化審查少得多，更新時還不會留下明顯的提交記錄。

這個GitHub賬號的經(jīng)營策略堪稱精細(xì)。它同時托管著完全干凈的合法文件，包括Python運行環(huán)境安裝包和標(biāo)準(zhǔn)的pip配置文件。這樣一來，所有從該賬號流出的下載請求，在網(wǎng)絡(luò)監(jiān)控工具眼里都像是正常的開發(fā)者行為，完美融入了日常流量。

攻擊的核心載荷是一個名為data.zip的文件，研究人員發(fā)現(xiàn)它被反復(fù)重新發(fā)布，哈希值不斷變化，說明攻擊者在持續(xù)更新這輪行動。這個載荷用PyArmor v9.2 Pro進(jìn)行了保護(hù)——這是一款商業(yè)混淆工具，能讓Python代碼抵抗靜態(tài)分析和反編譯。

整個感染鏈條設(shè)計得相當(dāng)講究。LNK文件執(zhí)行后，PowerShell會讀取快捷方式文件中特定偏移位置嵌入的混淆內(nèi)容，直接在內(nèi)存中運行。這種反沙箱技術(shù)意味著，如果運行環(huán)境不符合預(yù)期，惡意代碼根本不會執(zhí)行。

最終部署的是一個基于Python的植入程序，它不需要在系統(tǒng)上留下傳統(tǒng)的可執(zhí)行文件。安裝完成后，它以完整的監(jiān)控平臺形態(tài)在后臺靜默運行，收集瀏覽器密碼、會話Cookie、鍵盤記錄、剪貼板內(nèi)容、屏幕截圖、Telegram會話數(shù)據(jù)，以及受害者機器上的敏感文件。

關(guān)于攻擊者的身份歸屬，目前尚無定論。不過考慮到俄語誘餌和humanitarian aid主題，研究人員強烈推測目標(biāo)人群是俄語使用者。這種精準(zhǔn)的本地化設(shè)計，加上對GitHub平臺規(guī)則的深度理解，顯示出這不是業(yè)余黑客的隨手之作。