【資安快訊】2026-11月｜GitHub 假資安工具藏後門，用 Visual Studio 編譯就中招，逾 2,000 台電腦遭感染

本文由 耘鼎科技 GERTECH 整理撰寫分享

發布日期：2026/11/11

事件分類：惡意程式／軟體供應鏈攻擊

風險等級：High（已遭在野利用，本事件無 CVE 編號）

原始來源：Doctor Web｜Insolence beyond belief. Threat actors target information security developers on GitHub

本文同時整理 Dr.Web 公開的入侵指標清單、iThome 2026/11/09 報導，以及 BleepingComputer 報導。各項資訊以來源頁面當時的內容為準，見文末免責聲明。

重點整理

• 出了什麼事？ 資安廠商 Dr.Web 於 2026/11/05 公布調查：有人在 GitHub 上架偽裝成資安工具的專案，把惡意指令藏在 Visual Studio 專案檔，以及 Python、Go 原始碼裡。照著說明編譯或執行，電腦就會被裝上後門與竊資程式。調查時已有超過 2,000 台電腦感染。
• 誰要擔心？ 近期從 GitHub 下載過掃描自動化、安全測試、日誌分析這類小工具，並在 Windows 上用 Visual Studio 編譯，或直接執行其中 Python、Go 程式的人。資安人員與開發者是這波的主要目標。只在 GitHub 網頁或文字編輯器裡看過原始碼的，不會因此中毒。
• 嚴重程度？ 這不是軟體漏洞，沒有 CVE，也沒有 CVSS 分數。評為 High：已遭在野利用，但要使用者自己下載並編譯。中毒後會關掉 Defender、系統還原與陰影複製，再竊取 VPN、MobaXterm、FileZilla 設定與瀏覽器密碼，經 Telegram 傳出去。
• 要做什麼？ ① 用下方指令檢查有沒有 C:\ProgramData\Windows.Microsoft.Photos 等痕跡；② 從 GitHub 拿來的專案先在虛擬機裡開，編譯前看 .csproj 有沒有 PreBuildEvent；③ 確認中毒就先隔離、重灌，再從另一台乾淨的設備更換這台電腦上的密碼。

先搞懂幾個名詞

事件摘要

誘餌怎麼從遊戲外掛變成資安工具？

早期專案附上安裝 Visual Studio、複製儲存庫的說明，把人帶到「按下建置」。換成資安工具之後，目標從錢包變成 SSH、VPN 與測試環境的帳密。

這個攻擊到底怎麼發生？

使用者以為下載的是整理掃描結果的小工具。打開 Visual Studio、按下建置時，.csproj 裡的 PreBuildEvent 會先在本機執行 PowerShell，程式碼都還沒開始編譯。

Dr.Web 列出的感染流程：

1. 觸發：.csproj 的建置前事件，或 Python、Go 檔案裡藏在大量空白後面的程式碼。.suo 裡也有 PowerShell，觸發條件報告沒寫明。
2. 下載：PowerShell（C:\Users\Public\Pictures\t.ps1、L.ps1）到攻擊者伺服器，或到 YouTube、Telegram、Google 文件、Pastebin、GitCode 取加密字串，解出壓縮檔 Quixo.7z 的位置，解壓到 C:\ProgramData\Windows.Microsoft.Photos。
3. 載入與拆防護：壓縮檔裡的 Microsoft.exe 是 Electron 載入程式（Trojan.Loader.3261，報告撰寫時最新為 1.4.5）。它會停用 Defender、UAC、系統還原與陰影複製，把 regasm.exe、dwm.exe 加進 Defender 排除清單，試著移除 ESET、McAfee 與 Malwarebytes，改 hosts 讓電腦連不到防毒廠商，並改 VerifiedAndReputablePolicyState 繞過智慧型應用程式控制。接著重新載入乾淨的 ntdll.dll、拿掉 EDR 掛鉤，再讓 AMSI 與 ETW 失效。
4. 注入與竊取：再下載 Nexara.7z，把 AsyncRAT 與錢包地址替換程式注入 RegAsm.exe、dwwin.exe、dwm.exe 等 Windows 行程，並啟動竊資程式 JS.Stealer.191。載入程式有 Mode3、Mode2、Mode3non、Handler 幾種部署方式，一種失敗就換下一種。

下載位置藏在 YouTube、Google 文件這類平常會用的服務上，流量看起來像一般上網，只擋攻擊者自己的網域擋不完。

在 Visual Studio 裡，「先編譯看看」就是在自己的電腦上跑命令。

可能造成什麼影響

1. 電腦被遠端控制：AsyncRAT 有兩份相同檔案，各用不同網路埠。Dr.Web 寫，這可能是兩組人同時控制同一台電腦。
2. 憑證外洩：竊資程式會拿走瀏覽器資料、VPN 設定、MobaXterm.ini、FileZilla 的 XML、Total Commander 的 wcx_ftp.ini、通訊軟體檔案、遊戲平台帳號與 Discord 權杖。MobaXterm 與 FileZilla 若存了連線密碼，等於交出這台電腦能連的主機清單。
3. 加密貨幣被轉走：剪貼簿裡的錢包地址會被換掉，同時截圖，連同帳號、IP 與視窗標題傳到 Telegram。
4. 防護被拆掉：Defender 停用、防毒被移除、hosts 被改、AMSI 與 ETW 失效。之後的動作可能沒有紀錄，也不會跳出警告。

以上是這些惡意程式做得到的事。Aviatrix 寫攻擊者會用 AsyncRAT 在內網橫向移動，Dr.Web 原始報告沒有這項證據，列為未證實。也沒有公開資料顯示被竊的憑證已經被拿去入侵企業內網。

風險評估：到底多危險？

目前仍待確認的三件事

1. 還有多少惡意專案沒被找到：Dr.Web 公開 9 個儲存庫。帳號被下架後可以換名再上架，不在清單上不代表安全。
2. .suo 怎麼觸發：報告只寫裡面有 PowerShell，沒寫是開啟方案就執行，還是要再做別的操作。答案出來前，「只開啟、沒建置」也當成有風險。
3. 受害者分布與後續利用：報告沒有國家與產業，無法判斷台灣受影響的程度。被竊的 VPN、SSH 憑證有沒有被拿去用，也還沒有公開資料。

惡意專案清單

Dr.Web 公開的惡意儲存庫：

攻擊者也用 GitHub 帳號 tb78 放下載檔，以及 GitCode 帳號 LastWer 放加密設定。改名或新開的專案不會在這張表裡，還是要查專案檔和電腦上的痕跡。

自己檢查：我的電腦有沒有問題？

還沒開啟的專案（在專案根目錄執行）：

# Windows PowerShell
Get-ChildItem -Recurse -Include *.csproj,*.vbproj,*.vcxproj,*.props,*.targets |
  Select-String -Pattern 'PreBuildEvent|PostBuildEvent|<Exec\b'
Get-ChildItem -Recurse -Include *.py,*.go |
  Select-String -Pattern ' {150,}|\t{40,}' | Select-Object Path, LineNumber
Get-ChildItem -Recurse -Force -Filter *.suo

# macOS／Linux 終端機
grep -rnE --include='*.csproj' --include='*.vbproj' --include='*.vcxproj' \
  --include='*.props' --include='*.targets' 'PreBuildEvent|PostBuildEvent|<Exec' .
grep -rnlE --include='*.py' --include='*.go' ' {150,}' .
find . -name '*.suo'

• 第一段有輸出：專案設了建置事件。正常專案也會有，要看它執行什麼。看到 PowerShell、下載或編碼過的長字串就不要建置。
• 第二段有輸出：檔案裡有超長空白，打開後捲到最右邊看後面接了什麼。
• 第三段有輸出：刪掉整個 .vs 資料夾再開啟方案。

已經編譯或執行過的 Windows 電腦（以系統管理員身分執行 PowerShell）：

Test-Path 'C:\ProgramData\Windows.Microsoft.Photos'
Get-ChildItem 'C:\Users\Public\Pictures' -Filter *.ps1 -Force
(Get-MpPreference).ExclusionProcess
(Get-MpPreference).ExclusionPath
Get-Content "$env:windir\System32\drivers\etc\hosts" | Where-Object { $_ -notmatch '^\s*(#|$)' }
Get-ChildItem "$env:windir\System32\drivers\etc"
Get-Process Microsoft, SearchFilterHost, WUDFHost -ErrorAction SilentlyContinue | Select-Object Name, Path

• 第一行是 True，或第二行列出 .ps1：當成已經感染。
• Defender 排除清單裡有 regasm.exe 或 dwm.exe：正常環境很少這樣設，一併當作感染跡象。
• hosts 出現防毒廠商網域，或 drivers\etc 裡只剩 hosts、networks、protocol、services、lmhosts.sam：符合這個惡意程式的改法。
• 最後一行要看路徑。SearchFilterHost.exe 與 WUDFHost.exe 是 Windows 內建程式，正常在 C:\Windows\System32\。同名程式出現在 ProgramData 或使用者資料夾才有問題。

以上都沒發現，只表示沒看到 Dr.Web 已公開的痕跡。這個惡意程式會關掉 Defender 和事件記錄。若確定建置或執行過可疑專案，直接照第一階段處理。

Smart App Control 的登錄值（HKLM:\SYSTEM\CurrentControlSet\Control\CI\Policy 下的 VerifiedAndReputablePolicyState）也可以查。很多電腦本來就沒開這項功能，值是 0 不能單獨當成中毒。

入侵指標：

指標來自 Dr.Web。完整 17 個雜湊與各階段下載網址見 Dr.Web 的 GitHub IoC 清單。duckdns.org 是免費動態 DNS，只封鎖表上的完整子網域。

企業 SOC 可以用的查詢（Microsoft Defender for Endpoint）：

// GT_Hunt_VSPrebuild_PowerShell：Visual Studio 建置流程啟動 PowerShell
DeviceProcessEvents
| where InitiatingProcessFileName in~ ("devenv.exe", "msbuild.exe")
| where FileName in~ ("powershell.exe", "pwsh.exe", "cmd.exe")
| project Timestamp, DeviceName, AccountName, InitiatingProcessFileName, ProcessCommandLine

// GT_Hunt_Loader3261_Network：連往已知的 C2 網域與 IP
DeviceNetworkEvents
| where RemoteUrl has_any ("muckanthropic.com", "muckcoding.com", "muckdeveloper.com", "muckduck.duckdns.org")
   or RemoteIP in ("130.12.182.172", "130.12.182.209")
| project Timestamp, DeviceName, InitiatingProcessFileName, RemoteUrl, RemoteIP

第一條在正常開發環境也會有結果，要看命令列內容。第二條只涵蓋已公開指標，經由 YouTube、Pastebin 取下載位置的流量不會出現。

處置建議

第一階段：已經建置或執行過可疑專案的電腦（P0）

1. 從網路隔開，先不要關機，也不要清日誌或刪檔案。這些是之後判斷感染時間與外洩範圍的依據。
2. 刪幾個檔案無法確認清乾淨。這個惡意程式會關掉防護、注入系統行程、裝兩份後門。備份必要資料後重灌。
3. 重灌或確認隔離之後，再從另一台乾淨的設備換密碼。順序反過來，新密碼可能又被同一支竊資程式拿走。要換的包括：瀏覽器儲存的密碼與登入狀態、VPN、MobaXterm 與 FileZilla 的連線帳密、SSH 金鑰、Discord 權杖，以及這台電腦能連進去的伺服器帳號。
4. 電腦上若有加密貨幣錢包，把資產轉到新錢包。

第二階段：開發者與資安人員的電腦（P1）

1. 用上一節的指令檢查近期開過 GitHub 專案的電腦。
2. 把入侵指標的網域與 IP 加進防火牆或 DNS 封鎖清單。
3. 確認 Defender 即時保護、排除清單與 hosts 沒有被改。有 EDR 的話，開啟防竄改。

第三階段：調整開源專案的使用習慣（P2）

1. 從 GitHub 拿來的專案，先在用完即丟的虛擬機或 Windows 沙箱裡開啟與編譯，不要在存有工作憑證的電腦上直接跑。
2. 開啟方案前先看 .csproj 的建置事件，並刪除 .vs 資料夾。
3. 編輯器開啟自動換行，或裝能標示行尾空白的外掛。
4. 星星數、Fork 數可以灌，帳號也可以是新開的。看作者的歷史紀錄與程式碼本身。

耘鼎觀點

受害者的身分比較少被討論。資安人員與開發者的電腦，常常權限高、管控鬆。為了測試，防護會被關一部分，資料夾會被加進排除清單，GitHub 上的小工具也是抓了就用。誘餌從遊戲外掛換成 Fscan 結果整理工具，就是看準這件事。

另一點是觸發位置。多數人對「執行來路不明的 exe」有戒心，對「把專案編譯看看」則沒有。PreBuildEvent 是 Visual Studio 的正常功能，不是漏洞，也不會有修補。能做的是改開專案的習慣：進隔離環境、編譯前看建置事件、SSH 與 VPN 帳密不要整包存在 MobaXterm，以及平常就知道 Defender 排除清單長什麼樣子。

若需要比對入侵指標、對疑似感染的電腦做鑑識，或建立「Visual Studio 建置時啟動 PowerShell」這類告警，耘鼎科技 GERTECH 可以協助。上面這些檢查，沒有導入服務也可以先做。

參考資料

• Doctor Web｜Insolence beyond belief. Threat actors target information security developers on GitHub（研究報告，2026/11/05）
• Doctor Web｜malware-iocs：Trojan.Loader.3261（入侵指標清單）
• iThome｜駭客在GitHub散布假資安工具，利用Visual Studio編譯流程植入後門（媒體報導，2026/11/09，李建興）
• BleepingComputer｜Fake security tools on GitHub push backdoors and infostealers（媒體報導）
• ZeroDay Times｜GitHub: fake Fscan helper, 2000 Windows hosts（媒體報導，2026/11/07）
• Aviatrix｜Fake GitHub Security Tools Deploy AsyncRAT & Infostealers（第三方分析，2026/11/07。內文含產品推廣，橫向移動是該站推論，不是 Dr.Web 的發現）

延伸閱讀

• 【資安快訊】2026十一月 Linux 核心 TCP 重大 CVE-2026-98432 漏洞警報！（2026-11-05）
• 駭客利用 CVE-2026-58115 接管 Node-RED 事件解析（2026-11-04）

---

本文依據 Dr.Web 2026/11/05 調查報告與公開入侵指標、iThome 2026/11/09 報導及 BleepingComputer 報導整理。惡意程式行為與入侵指標以 Dr.Web 最新公告為準。

© Gertech 耘鼎科技 資安情資分享

想進一步討論這個主題？

歡迎來電 02-2748-8522，或填寫諮詢表單，由耘鼎顧問與您聯繫。

預約諮詢 →