据 BleepingComputer 报道，安全公司 Dr. Web 发现，攻击者正在 GitHub 上发布带有恶意代码的安全项目，以网络安全从业者为目标，投递后门和信息窃取程序。Dr. Web 研究人员称，迄今已有超过 2,000 台 Windows 系统被攻陷。这场活动的诱饵已从面向加密钱包用户的项目，转向自动化扫描、安全测试和日志分析工具。
据报道，该活动约两年前开始，最初针对加密钱包用户，此前使用过区块链游戏、机器人和作弊工具等诱饵，主要吸引区块链及游戏爱好者。
研究人员发现的一个恶意仓库伪装成 Fscan 网络扫描器的配套脚本，宣称能够以轻量方式解析、清理和格式化扫描输出。这类项目属于攻击者近期转向的安全工具诱饵。
Dr. Web 的调查发现，恶意代码被嵌入 Visual Studio 项目文件、Python 脚本和 Go 源文件，并藏在长段空白之后。部分 Visual Studio 项目还利用预构建事件，在正式编译前运行恶意代码。
感染链通过 PowerShell 获取加密的下载链接，随后下载名为 Microsoft.exe 的模块化 Electron 加载器。该加载器会建立持久化、提升权限、禁用 Windows 安全与恢复功能，并将下一阶段恶意程序注入合法进程。
据 Dr. Web 描述，加载器默认使用的 Mode3 模式包含六种规避手段：让 explorer.exe 显示为父进程、修改注册表以禁用 Smart App Control、从磁盘还原 ntdll.dll 原始代码以移除安全软件钩子、直接调用 Windows 系统调用，以及在内存中分别修补 EtwEventWrite 和 AmsiScanBuffer，抑制受影响进程的事件跟踪并干扰脚本扫描。
如果 Mode3 无法启动，加载器会改用 Mode2，添加 Microsoft Defender 排除项，再通过 PowerShell 脚本解密载荷并将其注入 RegAsm.exe。
报道列出的最终载荷包括 AsyncRAT 后门、用于替换剪贴板中加密钱包地址的 clipper 恶意软件，以及信息窃取程序。
其中，信息窃取程序会收集浏览器数据、VPN 设置、FTP 客户端配置文件、游戏账号数据和 Discord token，并通过 Telegram 机器人外传。
据 Dr. Web，恶意软件还会尝试卸载受感染计算机上的 ESET、McAfee 和 Malwarebytes 杀毒工具，尝试切断这些工具与更新服务器的连接，同时干扰 Windows 备份。
