逾 2,000 台 Windows 电脑经 GitHub 被黑：Trojan.Loader.3261 与针对安全从业者本人的陷阱

2026 年 11 月 5 日，安全厂商 Doctor Web 公布了一项通过 GitHub 供应链展开的攻击活动的分析：已有逾 2,000 台 Windows 电脑被入侵。讽刺的是，受害者正是网络安全专业人员——那些拿钱去阻止这类攻击的人。恶意软件伪装成熟悉的开源项目，只需 clone 下来点一下生成（Build）——某些情况下，仅仅用 Visual Studio 打开项目，就足以让电脑被完全控制。

快速回答

• Trojan.Loader.3261 是 Doctor Web 为该加载器起的名字，它通过伪造的 GitHub 仓库传播，分析报告发布于 2026 年 11 月 5 日；已有逾 2,000 台 Windows 机器被入侵，主要目标是安全专业人员。
• 三种触发机制：（1）藏在 Visual Studio 项目文件（.csproj）生成前事件（Pre-build Event）中的 PowerShell 命令，在受害者点击 Build 的瞬间执行；（2）藏在隐藏文件夹 .vs 中的恶意 .suo 文件，解决方案一打开即触发——无需编译；（3）Python/Go 文件中的恶意代码被大量空格字符推到屏幕可视范围之外。
• 主要载荷是 Microsoft.exe（Electron 应用，检出版本 1.4.5，随名为 Quixo.7z 的压缩包下发）：它禁用 Windows Defender、UAC、安全警告、系统还原和 VSS；把 RegAsm.exe 与 dwm.exe 加入 Defender 排除列表；试图卸载 McAfee、ESET 和 Malwarebytes；并修改 hosts 文件以封锁杀毒厂商的网站。
• 被安装的工具包包括：两份仅端口不同的 AsyncRAT（远程访问木马）、一个替换加密货币钱包地址的剪贴板窃取组件，以及一个信息窃取程序——收集浏览器密码、FileZilla 与 Total Commander 中的 FTP 凭据、MobaXterm.ini 中的 SSH 会话、VPN 配置和 Discord 令牌——全部通过 Telegram 机器人外传。
• 许多恶意仓库在原帖核查时仍在线：在被点名的 9 个示例仓库中，只有 2 个返回 404。Doctor Web 已在其 malware-iocs 仓库公布了失陷指标（域名、IP 和文件哈希）。

Trojan.Loader.3261 是什么？

Trojan.Loader.3261 是安全厂商 Doctor Web 为一起通过 GitHub 展开的软件供应链攻击活动中的加载器所起的名字，分析发表于 2026 年 11 月 5 日。攻击者不走钓鱼邮件或恶意网站的老路，而是在 GitHub 上发布伪造的开源项目——伪装成网络扫描工具、反向代理、日志处理脚本等安全实用程序。这些恶意仓库两年来不断出现，据原帖称，其中一些在核查时仍未被下架。

这场活动危险之处在于，它利用的不是受害者的无知，而是安全从业者的习惯与自信：需要一个工具，上 GitHub 搜索，找到一个看上去可信的仓库，git clone 下来自己编译——而这个看似无害的编译步骤，正是恶意软件进入的门。

恶意软件是如何被触发的？

Doctor Web 发现，恶意代码被植入三种不同的项目文件，各有自己的触发机制：

机制	运作方式	触发时机
.csproj 文件中的生成前事件	滥用「项目可在编译开始前执行命令」的功能；伪造项目不做复制文件、打版本号之类的正常工作，而是执行 PowerShell 命令	开发者点击 Build 的瞬间
.vs 文件夹中的 .suo 文件	.suo 文件保存 Visual Studio 的设置，位于大多数开发者从不检查的隐藏文件夹 .vs 中；精心构造的 .suo 可触发代码执行（深信服研究员 Zhiniang Peng 早在 2023 年 10 月就指出过这一技术）	用 Visual Studio 打开解决方案时，编译之前
Python/Go 代码中的空格	恶意代码被大量空格或制表符远远推到右侧；读文件的人只看到一行看似无害的空白，真正的代码在可视范围之外	像平常一样运行或构建工具时

关于 .suo 的情形，原帖指出，微软并不按通常意义将其归类为安全漏洞：该公司认为打开来自不可信来源的项目本身就具有风险，并建议用户启用 Visual Studio 的信任设置。无论如何归类，实际后果不变：在某些情况下，光是打开项目就足以中招。

一旦触发，恶意软件在受害者机器上做什么？

三种机制任一被触发后，一个 PowerShell 脚本会连向攻击者的服务器，获取经过编码的载荷下载地址。为了混入企业正常流量，该活动还滥用 YouTube、Telegram、Google Docs、GitCode 和 Pastebin 等常见平台来存放或分发数据。下载的载荷是名为 Quixo.7z 的压缩包，内含一个伪装成 Windows 图形组件的文件夹和文件 Microsoft.exe——执行大部分破坏行为的组件，基于 Electron（许多流行桌面应用所用的框架）构建，检出版本 1.4.5。

启动后，Microsoft.exe 立即依次禁用 Windows Defender、用户账户控制（UAC）、Windows 安全警告、系统还原和卷影复制服务（VSS）——即支撑备份与恢复的服务。它把 RegAsm.exe 与 dwm.exe 加入 Defender 排除列表，使藏在这两个进程中的载荷不被扫描；试图卸载 McAfee、ESET 和 Malwarebytes 三款安全软件；并修改 hosts 文件，阻止机器访问杀毒软件厂商的网站。换句话说，它不只是关掉防御，还试图阻止受害者下载新的防护工具。

它的反检测层同样周密：伪造父子进程关系，使自己看起来像是由 explorer.exe 启动的；修改注册表以绕过 Smart App Control；直接从磁盘读取一份干净的 ntdll.dll，恢复被安全软件监控挂钩（hooking）改写的代码；使用 Halo's Gate 技术直接调用系统函数；并禁用 ETW 与 AMSI——Windows 用于追踪可疑行为的两个机制。最终载荷被注入 RegAsm.exe、dwm.exe 等看似可信的 Windows 进程。

装了哪些恶意软件？偷了什么数据？

Trojan.Loader.3261 安装的不止一种恶意软件：

• 两份 AsyncRAT：远程访问木马，几乎完全相同，仅网络端口不同。研究人员评估，这种部署方式可能让两个操作者通过两个不同端口同时控制同一台机器——这是基于结构的推测，并非已证实的结论。
• 剪贴板窃取组件：监视剪贴板；当用户复制加密货币钱包地址时，把它换成攻击者的地址。每替换一次，它就截屏并发送到 Telegram 机器人，附带当前活动窗口标题、用户名和机器的 IP 地址。
• 信息窃取程序：先检查机器是否运行在沙箱或虚拟机中；只有确认不是分析环境时才开始收集。目标清单精准契合安全从业者的工作特点：浏览器保存的数据与密码；FileZilla 与 Total Commander 中的 FTP 登录信息；保存了 SSH 会话的 MobaXterm.ini 文件；VPN 配置；即时通讯应用数据；游戏账号；以及 Discord 令牌。全部打包后通过 Telegram 机器人外传。

这才是最可怕之处：安全专家的笔记本里通常存有通往多家组织系统、服务器和内网的访问信息。攻下一台这样的机器，可能意味着攻击者已经握住了通往许多其他系统的钥匙。

这场活动从游戏玩家起步，后来转向安全专家

据 Doctor Web，这场活动起初并不针对安全专家。早期阶段，伪造仓库主要以加密货币游戏的机器人和作弊工具形式推广——其中包括 Telegram 上的游戏 Catizen——瞄准想赚代币或在游戏中占优势的用户。一些仓库甚至一步步教人如何安装 Visual Studio 和下载源码，让经验不足的人也能照做。随后，运营者转向更高价值的目标，把恶意软件伪装成网络扫描、安全测试和日志分析脚本。被点名的一个例子是用于解析和清理 Fscan 输出的「轻量」脚本——Fscan 是 GitHub 上拥有近 15,000 颗星的网络扫描工具；另一个仓库则原封不动地抄了一款合法开源工具的说明文字，只粗略读一遍很难发现差别。

研究人员还发现了一个未完成的组件，功能是把加载器安装为 Windows 服务，并在被删除时重新下载自己——表明这场活动仍在开发之中。在作为例子给出的 9 个仓库中，有两个已返回 404 错误；其余在原帖提到的核查时点仍然活跃。

这场活动与 Water Curse、GitVenom 有关吗？

Doctor Web 并不是第一个碰到这类工具集的。2025 年 6 月，趋势科技（Trend Micro）公布了 Water Curse 活动的研究：至少 76 个 GitHub 账号被用来分发伪造的渗透测试工具。两个活动有许多惊人的重合点：都使用 .csproj 中的生成前事件；都使用 Electron 应用；都部署计划任务重新拉起 Microsoft.exe；都把代码藏进 RegAsm.exe；都用 Telegram 外传窃取的数据；甚至一些内部模块的名字都一样——boot_f、kernel_f、thread_f。趋势科技在 2025 年就发现了这些组件，但未能完全确定其功能；Doctor Web 的分析则更深入了一步。

不过原帖强调：代码与技术上的重合，不足以断定两个活动出自同一团伙——在网络安全领域，工具可以在不同团伙之间共享、买卖或抄袭，归因本就非常困难。再往前，2025 年 2 月，卡巴斯基公布了 GitVenom 活动：数百个伪造的 GitHub 项目使用类似手法（Python 代码藏在约 2,000 个制表符之后），攻击者的一个钱包收到了约 5 枚 BTC——按当时价格接近 485,000 美元。更早的 2021 年 1 月，谷歌威胁分析小组（Google Threat Analysis Group）曾描述一场谷歌归因于朝鲜政府支持团伙的活动：对方以合作研究为名接触安全研究人员，发来一个含有恶意 DLL 的 Visual Studio 项目，DLL 会通过生成事件运行。原帖明确指出，目前没有证据表明 2021 年的那场活动与 Doctor Web 正在分析的这批仓库有关。

使用 GitHub 上的代码时，如何保护自己？

这场活动最大的教训是：GitHub 上公开的源码并不天然安全。打开一个刚 clone 下来的项目之前，请检查以下四点——这是原帖汇总的建议：

1. 检查 .csproj 文件：用普通文本编辑器打开，查找异常的生成前事件条目——例如包含 <Exec Command="powershell -enc ..."/> 的 <Target Name="PreBuild" ...>。一个刚下载的工具却在编译前运行 PowerShell，是必须高度警惕的信号；老项目也可能直接使用 <PreBuildEvent> 标签。
2. 打开解决方案前删除 .vs 文件夹：这个隐藏文件夹可能藏有被植入恶意命令的 .suo 文件。
3. 完整检查 Python 与 Go 源码：不要只看正常显示的部分——还要检查被大量空格或制表符远远推开的代码（显示不可见字符、横向滚动到底，或留意异常地长的行）。
4. 在虚拟机中构建项目：不要在存有密码、SSH 密钥、VPN 信息或工作账号的笔记本上试验来源不明的仓库；使用带干净快照的专用虚拟机，需要时可回滚。

此外，Doctor Web 已在其 malware-iocs 仓库公布失陷指标清单——域名、IP 地址和相关文件哈希——供防御团队与自家系统比对。

常见问题

Trojan.Loader.3261 是什么？是谁发现的？

Trojan.Loader.3261 是安全厂商 Doctor Web 为一起通过伪造 GitHub 仓库传播的活动中的加载器所起的名字，分析于 2026 年 11 月 5 日公布。该活动已入侵逾 2,000 台 Windows 机器；恶意软件伪装成网络扫描、日志分析脚本等开源工具，主要针对网络安全专业人员。

只打开 Visual Studio 项目真的会中招吗？

真的会。据分析，除了 .csproj 中的生成前事件机制（点击 Build 时触发），攻击者还把命令藏进隐藏文件夹 .vs 中的 .suo 文件——精心构造的 .suo 文件可以在打开解决方案的瞬间触发代码执行，根本不用编译。因此实务建议是：打开陌生解决方案前先删除 .vs 文件夹，并在虚拟机中试构建。

恶意软件会偷哪些数据？

据 Doctor Web，其载荷组合包括两份用于远程控制的 AsyncRAT、一个替换剪贴板中加密货币钱包地址的组件（并把截屏发到 Telegram 机器人），以及一个信息窃取程序，收集浏览器密码、FileZilla 与 Total Commander 中的 FTP 凭据、保存了 SSH 会话的 MobaXterm.ini 文件、VPN 配置、通讯应用数据、游戏账号和 Discord 令牌。最令人担忧的是，这类访问信息可能进一步通往许多其他组织的系统。

这场活动就是趋势科技的 Water Curse 吗？

尚不能下结论。Water Curse（趋势科技，2025 年 6 月，至少 76 个 GitHub 账号分发伪造渗透测试工具）与这场活动在许多技术上重合：.csproj 的生成前事件、Electron 应用、重新拉起 Microsoft.exe 的计划任务、藏在 RegAsm.exe 中的代码、经 Telegram 外传数据，甚至内部模块名 boot_f/kernel_f/thread_f 都一致。但技术重合并不等于同一团伙的证据，因为攻击工具可能被共享、交易或抄袭。

恶意仓库都已经被下架了吗？

还没有——据原帖，在 Doctor Web 点名的 9 个示例仓库中，只有 2 个返回 404，其余在核查时仍在线。这正是用户不能完全依赖平台下架的原因：在构建前检查 .csproj 文件、.vs 文件夹和源码，并习惯在虚拟机中构建陌生代码，仍是最重要的防线。Doctor Web 已在 malware-iocs 仓库公布失陷指标（域名、IP、哈希），供社区比对。

结语

一个看起来有用的仓库、一条 git clone、一次点击 Build——仅此而已，猎手自己的电脑就可能变成替恶意软件分发者服务的工具。Trojan.Loader.3261 引人注目之处不在于技术多新，而在于它精准击中了最熟练用户的盲区：他们与开源代码打交道的日常流程。在一个安全从业者日常保存 SSH 密钥、VPN 凭据、令牌和系统访问权限的环境里，一次粗心的构建，后果可能远远超出一台个人电脑。构建前先检查、在虚拟机中构建陌生代码——两个最便宜的习惯，也正是能救人最多的习惯。

来源：Facebook 页面「Học lập trình cho người mới bắt đầu」于 2026 年 11 月 9 日发表的帖子，整理自 Doctor Web 对 Trojan.Loader.3261 的分析（2026 年 11 月 5 日公布）以及趋势科技（Water Curse）、卡巴斯基（GitVenom）与谷歌威胁分析小组的相关研究；由 Wotech Electronics 编辑整理。插图：原帖附带照片。