慢雾披露sol-live仓库藏数据窃取后门

PANews 10月23日消息，慢雾发布安全预警称，名为 sol-live 的GitHub仓库伪装成Solidity面试练习项目，暗藏恶意代码，可收集浏览器登录数据库及钱包扩展存储数据、复制macOS钥匙串文件、扫描并上传本地文件，并可执行远程命令、提供交互式Shell访问及监控剪贴板。慢雾表示，在macOS和Linux上攻击需用户主动启动恶意终端配置，Windows攻击链尚未确认；另发现8个GitHub项目使用类似终端下载执行手法。

慢雾发布威胁情报称，GitHub 仓库 sol-live 伪装成 Solidity 面试练习项目，在 .vscode/settings.json 中隐藏了下载并执行远程脚本的命令，用户启动自定义终端配置后可能触发恶意载荷。该载荷可收集浏览器登录数据库、钱包扩展存储及 macOS Keychain 文件，并具备扫描上传本地文件、执行远程命令、提供交互式 Shell 及监控剪贴板等能力；macOS 和 Linux 下需用户主动启动恶意终端配置才会执行，Windows 端攻击链因引号处理问题尚未确认。慢雾另发现 8 个采用类似终端下载执行方式的 GitHub 项目，但尚无法确认实际感染范围或是否已有数据被窃取，建议用户运行不可信项目前检查 .vscode/settings.json 及终端启动参数，如已执行或无法排除则隔离排查设备并在可信设备上迁移钱包资产、更新凭证。

慢雾安全团队披露 GitHub 仓库 Hylance/sol-live 以 Solidity 面试练习为掩护，在 .vscode/settings.json 的终端启动配置中嵌入下载执行命令，命令前插入数百空格并用 files.exclude 隐藏 .vscode 目录。macOS 和 Linux 下用户需主动选用项目自带的 zsh/bash 配置才会触发；Windows 配置虽设为默认并隐藏窗口运行，但引号处理问题使其执行效果未获确认。获取的约 4 MB 远程载荷可启动三个后台进程，分别窃取浏览器登录库与钱包插件存储、扫描上传本地文件、提供远程控制与剪贴板监控，数据经明文 HTTP 上传至 172.86.112.107。慢雾同时指出浏览器密码解密函数直接返回空字符串，收集加密数据库不等于已获取明文密码或助记词；另发现八个存在类似配置的 GitHub 项目，IOC 已同步至 MistEye。