这个选题需要先核实感染规模、攻击链和披露时间线，我先并行检索一轮。
中文来源还不够，我再补一轮检索，拿到中文媒体的报道和 Dr.Web 原文要点。
事件源头、感染链细节和 2000 台这个数字的统计范围都已核实，成稿如下。
这起事件最扎心的地方在于：中招的不是不懂技术的小白，而是天天给别人做安全的人。俄罗斯安全厂商 Dr.Web 在 2026 年 11 月 5 日的报告里确认，GitHub 上一批伪装成安全工具的仓库正在向 Windows 主机投放后门、剪贴板劫持器和信息窃取木马，研究时点已有超过 2000 台 PC 被感染；这批仓库大约两年前就出现了，早期伪装成区块链游戏、游戏机器人和外挂，专门钓加密钱包用户，最近才整体转向 “扫描自动化、安全测试、日志分析” 这类安全从业者每天都要用的工具。载荷最终落地的是一个名为 Microsoft.exe 的 Electron 加载器（检出名为 Trojan.Loader.3261，报告时最新版本 1.4.5），它会在感染机上关闭 Defender、UAC、系统还原和卷影副本，尝试卸载 McAfee、ESET、Malwarebytes，改 hosts 文件屏蔽杀软厂商域名，再植入 AsyncRAT 后门、替换钱包地址的 clipper 和专偷浏览器数据、VPN 配置、FTP 配置、Discord token 的窃取器。整条链路的关键触发点不是漏洞，而是开发者自己的动作：clone 仓库、打开 Visual Studio 项目、点一下 Build。
一、先把事实边界划清楚
| 项目 | 已确认的事实 | 需要打的折扣 |
|---|---|---|
| 感染规模 | Dr.Web 称研究时点 “超过 2000 台 PC” | 是设备数不是组织数，没有按受害者类型拆分，也不等于当前仍在线受控的数量 |
| 活动周期 | 首批恶意仓库约两年前出现，约 2024 年 11 月前后 | 何时转向安全主题仓库，报告未给明确时间点 |
| 攻击目标 | 早期加密钱包用户、区块链游戏玩家；近期信息安全从业者 | 没有说明 2000 台里有多少属于安全从业者 |
| 归因 | 报告未点名任何组织、国家或动机 | 有二次报道把它和 Trend Micro 的 Water Curse、Kaspersky 的 GitVenom 作技术比对，但技术重合不足以认定同一团伙 |
| 仓库现状 | Dr.Web 公布了 IoC 清单 | 据二次报道核对，9 个示例仓库中仅 2 个返回 404，其余当时仍在线 |
二、诱饵换代：从 “外挂” 换到 “安全工具”
| 对比项 | 早期（约两年前） | 现在 |
|---|---|---|
| 伪装主题 | 区块链游戏、游戏机器人、作弊工具，例如 Telegram 游戏 Catizen 相关项目 | 扫描自动化、安全系统测试、日志分析 |
| 典型样本 | Visual Studio 项目 + 现成安装教程 | 号称 “轻量解析、清洗、格式化 Fscan 输出” 的脚本 |
| 目标人群 | 想薅代币、想开外挂的普通玩家 | 要跑扫描、要写报告、要批量处理日志的安全从业者 |
| 技术含量 | 门槛低，附送 “怎么装 Visual Studio、怎么 clone” 教程 | 直接复制正规开源项目的说明文案，靠 “看起来专业” 取信 |
| 风险级别 | 个人钱包被盗 | 一台安全人员的电脑上通常挂着 VPN、SSH 会话、云凭证和内网权限 |
这个转向的逻辑很直白：安全从业者的电脑比普通玩家值钱得多。一份 MobaXterm.ini 里可能是十几个客户的 SSH 会话，一份 VPN 配置可能直接通向企业内网，一个 Discord token 可能连着某个安全团队的工作频道。
三、恶意代码藏在哪三个位置
| 文件类型 | 藏法 | 触发时机 |
|---|---|---|
| Visual Studio 项目文件（.csproj） | 把命令塞进 PreBuildEvent（编译前事件） | 执行 Build 时，在编译产物生成之前就跑起来 |
| 解决方案用户选项文件（.suo） | 内置一条 PowerShell 命令 | 与打开 / 加载解决方案相关；有二次分析称打开 solution 即可触发，这一点建议按 “高风险” 对待 |
| Python / Go 源码（如 FscanOutput_v2.2.py、resource.go） | 用大段空白把恶意语句顶到屏幕外，肉眼看过去像空行 | 脚本被运行时 |
这三个位置有个共同特点：都不在 “代码逻辑” 里，而在开发流程的配置和格式里。你 review 业务函数 review 得再细，也很难注意到项目文件里多了一段编译前事件。
四、感染链：六步，全部踩在正常开发流程上
- 取信：仓库有像样的 README、有安装步骤、有示例输出，甚至照抄正规工具的说明文档。
- 落地脚本：文件下载后，一个 PowerShell 脚本（Dr.Web 命名为 PowerShell.Packed.270）在用户机器上执行，常见落点是 C:\Users\Public\Pictures\ 下的 t.ps1、L.ps1 这类伪装文件名。
- 借正规平台取址：脚本会访问攻击者服务器，也会访问 YouTube、Telegram、Google Docs、GitCode、Pastebin 等正规平台，从中取回一段加密字符串，解密后得到下载地址。走正规域名能绕开不少基于 “可疑域名” 的拦截。
- 下载压缩包：拿到 Quixo.7z，解压到 C:\ProgramData\Windows.Microsoft.Photos —— 一个看起来像 Windows 自带照片组件的目录。
- 加载器启动：目录里的 Microsoft.exe 是 Electron 写的模块化加载器，负责驻留、提权、关防御、注入。
- 投递载荷：再取 Nexara.7z，解出加密模块和配置，把后门、clipper、窃取器注入到 RegAsm.exe、dwwin.exe、dwm.exe 这类正常系统进程里。
五、加载器的规避手法：一套六件，外加三套备用方案
| 规避手法 | 针对的是什么 |
|---|---|
| PPID 伪造 | 让恶意进程的父进程看起来是 explorer.exe，伪装成用户正常双击打开 |
| 关闭 Smart App Control | 改注册表 VerifiedAndReputablePolicyState，放开 “不受信任程序禁止启动” 的限制 |
| ntdll.dll 去钩子 | 从磁盘读回原始系统库，覆盖掉 EDR 打上的监控钩子 |
| 直接系统调用（Halo's Gate） | 绕过常规 API 层，让依赖 API 拦截的安全产品看不到调用 |
| 补丁 ETW | 改内存里的 EtwEventWrite，让事件追踪日志不再记录该进程行为 |
| 补丁 AMSI | 改 AmsiScanBuffer，让脚本在进程内运行时不被送检 |
主模式（Mode3）没跑通，就切 Mode2：往 Defender 里加 regasm.exe、dwm.exe 排除项，再用 PowerShell 脚本解密载荷并注入 RegAsm.exe。此外还有 Mode3non 和 Handler 两套更老的路径。四个模式的目标只有一个：把两份 AsyncRAT 和一份注入器送上去。两份 AsyncRAT 内容相同、端口不同，研究者推测是为了让两个操作者同时控一台机器。
六、落地后干三件事，顺手把 “后路” 拆掉
- AsyncRAT 后门：给操作者完整的远程控制能力，能执行命令、传文件、再投新载荷。这意味着改密码不够，机器本身要当作已失陷处理。
- Clipper：监控剪贴板，把复制的加密钱包地址换成攻击者的地址；每次替换还会截图，连同窗口标题、用户名、IP 一起发到 Telegram 机器人。转账前不逐字核对地址，钱就直接进对方口袋。
- JS.Stealer.191：先检测是否在虚拟机 / 沙箱里，确认不是分析环境才动手。偷的东西包括浏览器数据、FileZilla 的 XML 配置、MobaXterm.ini、Total Commander 的 wcx_ftp.ini、VPN 配置、通讯软件文件、游戏账号和 Discord token，压缩后走 Telegram 机器人外传。
同时它还做三件 “拆后路” 的事：尝试卸载 ESET、McAfee、Malwarebytes 并切断其更新服务器；改 hosts 屏蔽杀软域名；清空 system32\drivers\etc\ 下除 hosts、networks、protocol、services、lmhosts.sam 之外的文件，让用户没法用备份恢复。Dr.Web 还发现一段未启用的代码，指向未来的能力：用 sc.exe 注册服务驻留、检测 Microsoft.exe 是否被删并重新下载、控制开机启动、自我更新。
七、自查清单：现在就能做的九件事
个人 / 开发机：
- 查一遍 Defender 的排除项，出现 regasm.exe、dwm.exe 这类条目要立刻追查来源。
- 查 C:\ProgramData\Windows.Microsoft.Photos 是否存在，以及 C:\Users\Public\Pictures\ 下有无 t.ps1、L.ps1。
- 查计划任务和注册表 Run 项里有没有指向 Microsoft.exe 的条目。
- 用 Dr.Web 公布的 IoC（哈希、域名、IP）对文件清单和 EDR 记录做一次比对。
- 陌生仓库先删掉 .vs 目录再打开，别在带凭证的机器上点 Build。
企业 / 团队：
6. 第三方脚本、工具一律先进一次性虚拟机，不挂 VPN、不登生产账号、不接网络盘。
7. CI/CD 里对外部 Action 和依赖锁到 commit SHA，不用可被静默改指的版本标签。
8. 把 “编译前 / 编译后事件、BeforeTargets、Exec、PowerShell 调用” 列为项目文件审计的固定检查项。
9. 开发机按生产资产对待：凭证隔离、最小权限、可快速吊销。
八、为什么这次打中的是 “最懂安全的人”
因为安全工具的获取方式本身就是高风险行为：需要什么就上 GitHub 搜，看 star 数、看 README、clone 下来跑一遍。这套动作在十年里被验证为高效，也因此形成了盲区 —— 信任来自 “看起来专业”，而不是来自来源验证。攻击者不需要骗过杀软，只需要骗过这个习惯。反过来说，这也解释了为什么 2000 台这个数字不该被读成 “小规模”：它统计的是设备，而每台设备背后可能连着若干客户环境。
真正需要改的不是某一款工具的使用方式，而是 “下载即执行” 的默认动作。把陌生代码先扔进隔离环境、把项目文件当配置文件审、把开发机当生产资产管，这三件事做到位，这类仓库就只是一堆没人点的代码。
【相关 FAQ】
问题 1：仿冒 GitHub 安全工具这起事件到底感染了多少设备？
回答 1：按 Dr.Web 2026 年 11 月 5 日的报告，仿冒 GitHub 安全工具的这轮活动在研究时点已感染超过 2000 台 Windows PC。这个数字是设备数、不是组织数，也没有按受害者类型拆分，所以不能直接理解成 “2000 家单位被攻破”，更不能当成当前仍在线受控的数量。
问题 2：仿冒 GitHub 安全工具是怎么让人中招的？
回答 2：仿冒 GitHub 安全工具不靠漏洞，靠开发流程。恶意仓库把命令写进 Visual Studio 项目的编译前事件（PreBuildEvent）和 .suo 文件，Python、Go 源码里则用大段空白把恶意语句藏到屏幕外。受害者 clone 仓库、打开项目、点一次 Build，PowerShell 脚本就跑起来了，之后才下载 Electron 加载器并投递后门与窃取器。
问题 3：仿冒 GitHub 安全工具投下来的恶意软件会偷什么？
回答 3：仿冒 GitHub 安全工具最终落地三样东西：AsyncRAT 远程后门、替换加密钱包地址的 clipper、以及信息窃取器。窃取器会先确认自己不在虚拟机或沙箱里，再收集浏览器数据、FileZilla 与 Total Commander 的 FTP 配置、MobaXterm.ini 里的 SSH 会话、VPN 配置、通讯软件文件、游戏账号和 Discord token，压缩后通过 Telegram 机器人外传。
问题 4：怎么判断自己的机器有没有被仿冒 GitHub 安全工具感染？
回答 4：针对仿冒 GitHub 安全工具，可以查五个位置：Defender 的排除项里是否出现 regasm.exe、dwm.exe；C:\ProgramData\Windows.Microsoft.Photos 目录是否存在；C:\Users\Public\Pictures\ 下有没有 t.ps1、L.ps1；计划任务和注册表 Run 项是否指向 Microsoft.exe；以及是否有主机在访问 、、、muckduck.duckdns.org 这些 Dr.Web 公布的域名。命中任意一条，就按已失陷处理，先隔离再改凭证。
问题 5：企业该怎么防仿冒 GitHub 安全工具这类供应链投毒？
回答 5：防仿冒 GitHub 安全工具，重点不在买哪款杀软，而在三件事：陌生仓库和脚本先进一次性虚拟机跑，不挂 VPN、不登生产账号；把 .csproj、.props、.targets 里的编译前后事件和 PowerShell 调用列为固定审计项，外部依赖锁到 commit SHA；开发机按生产资产管，凭证隔离、最小权限、可快速吊销。CI/CD 里跑过可疑工具的，环境要当作可能已泄露，轮换全部密钥。
【参考资料】
[2026-11-09]（Hơn 2.000 máy Windows bị hack qua GitHub：Trojan.Loader.3261 và cái bẫy nhắm vào chính dân an ninh mạng）WoTech
[2026-11-09]（Fake GitHub Security Tools Infect Over 2,000 PCs With Malware）Security Affairs
[2026-11-09]（Fake GitHub Security Tools Infect 2,000+ PCs, Doctor Web Reports）Daily Security Review
[2026-11-07]（Fake GitHub Security Tools Spread AsyncRAT Malware and Steal Sensitive Data From Developers）Cybersecurity Now
[2026-11-07]（Fake Security Tools on GitHub Deploy Backdoors and Infostealers to Compromise Over 2,000 Windows Systems）LiveThreat
[2026-11-07]（Dr.Web: poisoned GitHub security tools target defenders; 2,000+ PCs hit）P.K. Sharma
[2026-11-06]（Fake security tools on GitHub push backdoors and infostealers）BleepingComputer
[2026-11-05]（Insolence beyond belief: Threat actors target information security developers on GitHub）Doctor Web
[2026-10-26]（Наглости не занимать. На GitHub обнаружен троян, нацеленный на специалистов информационной безопасности）Доктор Веб
【免责声明】
本文所述感染规模、活动周期、载荷名称、规避手法与 IoC，均整理自 Dr.Web 原始报告及其后的公开报道；其中 “超过 2000 台” 为 Dr.Web 研究时点的设备计数，未按受害者类型拆分，也不代表当前仍受控的设备数量，报告本身未对攻击方作任何归因。有关 .suo 文件在 “打开解决方案即触发” 的说法来自二次分析，建议按高风险情形对待，具体机制以 Dr.Web 原文与微软说明为准。文中技术描述仅用于帮助识别与防护，不构成任何攻击方法指导；请勿在未隔离环境中运行来源不明的代码。若怀疑主机已失陷，请交由专业安全团队处置，本文不承担因自行操作导致的任何后果。