1 概述

近年来，利用开源生态的信任在GitHub伪装开源项目进行恶意代码“投毒”的攻击活动持续存在。自2024年底以来，安天CERT持续监测到通过此方式投递使用Electron打包的远控木马的攻击活动。攻击者通过伪装漏洞利用工具、游戏外挂等，针对下载开源项目进行编译、开发和使用的用户群体，将恶意代码植入开源代码的Visual Studio项目编译配置中，使项目在编译时先执行隐蔽命令，并利用多层不同语言和编译工具链开发的载荷实现混淆加载，规避安全检测，最终执行使用Electron打包的远控木马。相关攻击活动仍在活跃，样本中载荷下载URL等基础设施仍可访问。

目前相关样本在各类杀毒引擎中检出率较低，安天AVL SDK反病毒引擎通过全格式精准识别和深度预处理，支持对使用Electron打包的asar等格式的应用程序分发包裹文件进行细粒度拆解，对内嵌的恶意脚本等子文件进行精准检测。安天智甲终端防御系统可实现对该远控木马的有效查杀。

ASAR文件是一种常用于Electron应用程序的专有格式。其全称为“Atom Shell Archive”，是一种档案文件格式，类似于ZIP或TAR，能够将多个文件打包整合为一个文件。它把应用所需的众多文件，如JavaScript文件、HTML文件、CSS文件、图片、字体等资源，按照特定的结构和算法打包成一个文件。

该格式文件相关信息详见安天病毒百科。

图 1-1长按识别二维码查看ASAR文件详细信息

2 攻击活动分析

攻击者创建漏洞利用工具、游戏外挂等内容的开源项目，在其Visual Studio项目配置中嵌入恶意编译配置代码，并上传至GitHub开源平台，利用开源用户对开源资源的信任诱导下载。

图 2‑1在开源平台的部分投毒项目

伪装的项目利用GitHub Action功能自动向项目仓库中反复提交当前日期，使得项目最后更新日期始终较新，增加受害者下载编译项目的几率。其提交代码使用了硬编码的邮箱地址ischhfd83@rambler.ru。

图 2‑2自动提交项目代码

恶意代码通过Visual Studio项目的PreBuildEvent机制触发，该设置项用于指定项目编译前执行的命令行代码，存储在项目文件中（.*proj文件，如.vcproj、.vbproj等），可通过项目属性窗口查看，无法通过检查项目源代码发现。当编译项目代码时恶意代码便会触发执行。

图 2‑3通过项目属性查看恶意代码

图 2‑4通过项目文件查看恶意代码

该代码利用Bat、PowerShell脚本和Base64、AES等算法，嵌套执行多层后续载荷，尝试从pastebin、rlim等多个公开网站中获取下载地址，从该地址下载一个包含多个文件的加密压缩包并解压（压缩包中的文件为Electron打包的一组Node.JS程序），然后执行解压出的主程序SearchFilter.exe。使用Electron打包的程序实际执行的是JavaScript代码，代码进行了高度扁平化混淆，实现了通过Telegram API回传系统信息、反虚拟机、关闭Windows Defender反病毒软件、屏幕截图、计划任务持久化、下载后续载荷等远控功能。

图 2‑5多层载荷

图 2‑6下载执行的Electron打包程序

由于攻击手法较新，截至本报告发稿时，在国家计算机病毒协同分析平台中，恶意开源项目的.vbproj工程文件在各杀毒引擎中检出率较低，目前仅安天检出。

图 2‑7样本检出情况

进一步关联攻击手法、提交代码邮箱地址（ischhfd83@rambler.ru）等信息，发现了更多嵌入了恶意代码的恶意开源项目，项目创建时间几天内到几个月内不等，说明攻击仍在持续进行中，具体列表如下所示。请注意避免下载以下包含恶意代码的开源项目文件。

表 2‑1植入恶意代码的GitHub项目

3 终端安全防护

目前，该攻击活动利用Visual Studio开源项目打包和分发内嵌恶意木马绕过反病毒引擎的检测，安天AVL SDK反病毒引擎通过全格式精准识别和深度预处理，支持对asar等应用程序分发包裹文件进行细粒度拆解，对内嵌的恶意脚本等子文件进行精准检测。

建议企业用户部署专业的终端安全 防护产品，对本地新增和启动文件进行实时检测，并周期性进行网内病毒扫描。安天智甲终端安全系列产品（以下简称“智甲”）依托安天自研威胁检测引擎和内核级主动防御能力，可以有效查杀本次发现病毒样本。

智甲可对本地磁盘进行实时监测，对新增文件自动化进行病毒检测，对发现病毒可在其落地时第一时间发送告警并进行处置，避免恶意代码启动。

图 3‑1发现病毒时，智甲第一时间捕获并发送告警

智甲还为用户提供统一管理平台，管理员可通过平台集中查看网内威胁事件详情，并批量进行处置，提高终端安全运维效率。

图 3‑2通过智甲管理中心查看并完成威胁事件处置

4 样本对应的ATT&CK映射图谱

图 4‑1技术特点对应ATT&CK的映射

ATT&CK技术行为描述表如下。

表 4‑1 ATT&CK技术行为描述表

5  安天澜砥威胁检测分析垂直大模型分析与评估

安天澜砥威胁检测分析垂直大模型对app.asar包样本进行自动化分析，解析内容如下：

 按照国标草案给出威胁分类为Trojan.Win32.Bandos，自动提取特征生成的YARA规则如下：

rule Trojan.Win32.Bandos:Trojan {
   meta:
      description = "这是一段由 VILLM V2 模型生成的 YARA 规则。用于检测Trojan.Win32.Bandos"
   strings:
      $a = { 24 64 65 66 65 6e 64 65 72 45 78 63 6c 75 73 69 6f 6e 73 2e 45 78 63 6c 75 73 69 6f 6e 50 72 6f 63 65 73 73 }
      $b = { 50 72 6f 67 72 61 6d 73 5c 5c 43 6f 6d 6d 6f 6e 5c 5c 4f 6e 65 44 72 69 76 65 43 6c 6f 75 64 5c 5c 6d 62 61 6d 2e 70 73 31 }
      $c = { 68 74 74 70 73 3a 2f 2f 61 70 69 2e 74 65 6c 65 67 72 61 6d 2e 6f 72 67 2f 62 6f 74 22 2e 63 6f 6e 63 61 74 28 }
   condition:
      all of them
}

安天澜砥威胁检测分析垂直大模型是国内首个通过国家网信办备案的威胁检测生成式模型。模型基于安天赛博超脑20余年积累的海量样本特征工程数据训练而成，训练数据包括文件识别信息、判定信息、属性信息、结构信息、行为信息、主机环境信息、数据信息等，支持对不同场景下向量特征进行威胁判定和输出详实的知识理解，形成应用不同需求和场景的多形态的检测方式，提升后台隐蔽威胁判定能力，进一步为安全运营赋能。

图 5‑1安天澜砥威胁检测分析垂直大模型样本分析结果

6 IoCs

附录：参考资料

1 GitHub开源项目被投毒，后门病毒跟随开发流程传播蔓延 R/OL.(2025-01-23)

https://mp.weixin.qq.com/s/MF2lvyH6BxBE_muCwkOCPg