RU-APT-ChainReaver-L 劫持可信网站与GitHub仓库，发动大规模跨平台供应链攻击

2026-02-12 10:06:47 2 843

一场复杂精密的网络威胁正在蔓延，攻击者通过被篡改的镜像网站与 GitHub 代码仓库，向多个操作系统平台用户投递恶意软件。 这项代号为 RU-APT-ChainReaver-L 的攻击行动，是近期曝出的最精心策划的供应链攻击之一，同时影响 Windows、macOS 及 iOS 平台。 该行动运用了多项高级规避技术，包括使用有效证书进行代码签名、构造欺骗性重定向链，以及通过合法云服务分发恶意软件，传统安全系统极难检测。



一场复杂精密的网络威胁正在蔓延，攻击者通过被篡改的镜像网站与 GitHub 代码仓库，向多个操作系统平台用户投递恶意软件。

这项代号为 RU-APT-ChainReaver-L 的攻击行动，是近期曝出的最精心策划的供应链攻击之一，同时影响 Windows、macOS 及 iOS 平台。

该行动运用了多项高级规避技术，包括使用有效证书进行代码签名、构造欺骗性重定向链，以及通过合法云服务分发恶意软件，传统安全系统极难检测。

攻击基础设施规模空前
该行动的基础设施展现出惊人的规模与复杂性。攻击者已入侵两家主流文件镜像服务——Mirrored.to 与 Mirrorace.org，二者被全球大量软件下载网站广泛使用。

通过在上述平台注入恶意代码，攻击者将可信基础设施转化为信息窃取恶意软件的投递通道。当用户尝试通过这些被入侵服务下载文件时，请求会被导向多个中间跳转页面，这些页面在保持外观合法性的同时，专门设计用以规避安全检测。

发现与溯源
GRAPH 分析师在调查暗网市场上出现的大批用户凭证时，首次识别出这一攻击活动。研究团队将这些被盗账户追溯至一个已活跃数月、高度协同的感染行动。

通过其扩展检测与响应平台及威胁狩猎行动，GRAPH 研究人员绘制出覆盖 逾 100 个域名 的攻击基础设施图谱，其中包括命令与控制服务器、感染页面及重定向跳板。

该行动的操控者持续更新其工具与基础设施，以极短周期修改恶意软件特征码与投递方式，以规避杀毒软件检测。

针对不同操作系统的攻击手法
攻击手法因受害者操作系统而异：


  • Windows 用户：被重定向至 MediaFire、Dropbox 等云存储服务，其中存放着受密码保护的压缩包，内含已签名的恶意软件，在安全软件眼中看似合法。

  • macOS 用户：遭遇 ClickFix 攻击，欺骗性页面诱骗用户手动执行终端命令，从而下载并安装 MacSync Stealer 窃密软件。

  • iOS 用户：被引导至苹果 App Store 中的欺诈性 VPN 应用，这些应用随后会对其设备发起钓鱼攻击。


GitHub 武器化与恶意软件能力
该行动对 GitHub 的利用，展现了攻击者对安全团队盲点的深刻理解。

GRAPH 研究人员发现，攻击者共入侵 50 个 GitHub 账户——其中许多注册于数年前，拥有成熟的活动历史——用以托管恶意仓库。

这些账户主要于 2025 年 11 月 被劫持，随后被改造为分发破解软件与激活工具的平台，专门针对搜索盗版软件的用户。



该 Windows 恶意软件为信息窃取器，具备以下功能：捕获屏幕截图、提取加密货币钱包数据、盗取即时通讯软件数据库及浏览器凭据，同时复制桌面、文档和下载文件夹中的文件。

GRAPH 分析师指出，捕获的样本中包含来自多家公司的有效代码签名证书，这极大增加了检测与防御的难度。



macOS MacSync Stealer 采用无文件式内存执行，窃取的数据包括：浏览器数据、Ledger 与 Trezor 等加密货币钱包、SSH 密钥及 AWS 凭据。

组织应部署以下多层防御策略：

用户教育是关键防线：由于感染高度依赖社会工程学，提升用户安全意识至关重要。

终端多层防护：部署具备异常进程行为与可疑文件访问模式检测能力的 EDR 系统。

网络监控重点：聚焦文件共享服务及新注册域名的连接行为。

阻断直连互联网：用户系统下载请求应强制路由至文件分析平台，通过静态分析、动态分析及机器学习进行深度检测。
类别 新闻资讯

关于作者

socsoc131篇文章146篇回复

socsoc
2

评论2次

要评论？请先  登录  或  注册
  • 2楼
    beiank
    Rank: 2
    2026-2-12 10:23

    这个攻击手法够厉害的啊，看来还是以后使用自己破解的软件，用着放心啊。

  • 1楼
    T00lsAI T00ls官方AI机器人
    Rank: 3Rank: 3
    2026-2-12 10:08

    结论

    RU-APT-ChainReaver-L攻击以供应链污染为核心，通过劫持可信基础设施（镜像站点、GitHub仓库）投递恶意负载，结合证书签名、重定向链和诱导性社会工程学手段突破多层防御。攻击链的关键路径是合法基础设施（Source）→用户终端（Sink），需从源头阻断恶意分发通道并强化终端行为监控。

    分析路径

    L1 攻击面识别

    污染源（Source）：

    1. 被劫持的镜像站点（Mirrored.to/Mirrorace.org）
    2. GitHub账户托管的恶意仓库（50+旧账户，模拟长期活跃性）
    3. 非法云存储（MediaFire/Dropbox）及恶意App Store应用

    漏洞 Sink（Sink）：

    1. Windows：用户手动解压密码保护压缩包，执行已签名恶意文件
    2. macOS：诱导用户输入终端命令，触发无文件内存执行（MacSync Stealer）
    3. iOS：信任欺诈性App Store应用，触发钓鱼攻击

    L2 假设与验证

    假设：攻击者通过替换镜像站点合法文件为恶意版本实现污染。 验证路径：

    1. 对被劫持镜像站点的历史文件哈xi进行离线对比，搜索替换痕迹。
    2. 使用工具（如curl -v）跟踪下载URL的重定向链，检查是否存在异常跳转（如绕过CDN到特定C2）。
    3. 分析GitHub恶意仓库的提交记录，验证是否存在异常提交（如深夜提交、代码逻辑突变）。

    L3 边界/异常场景

    测试点：

    1. GitHub账户行为异常：检查被劫持账户的SSH Key、访问IP、仓库访问日志是否出现非常见地域登录。
    2. 签名证书有效性：逆向Windows样本，提取签名证书链并交叉核对发行机构，确认是否复用合法但被泄露的证书。
    3. 终端执行链边界：在macOS中监控终端命令osascript或launchd异常调用，定位ClickFix攻击的触发条件。

    L4 防御反推与修复

    攻击者通过以下手段规避防御：

    1. 证书签名：利用合法证书绕过终端签名验证（需依赖证书透明度日志）。
    2. 重定向链混淆：使用多层CDN跳转，隐藏C2真实IP。
    3. 无文件攻击：macOS样本内存加载规避静态检测。

    防御措施：

    1. 源头阻断：
      • 建立可信镜像站点白名单，禁用非常规下载源。
      • 监控GitHub仓库的代码提交频率、分支篡改事件（如合并恶意fork分支）。
    2. 终端防护：
      • 部署EDR规则拦截特定域名请求（如MediaFire/Dropbox的API接口）。
      • 对终端执行的压缩包密码进行定期采集分析，识别固定模式（如123qwe）。
    3. 流量监控：
      • 建立DNS查询沙箱，捕获请求被劫持站点的子域名模式。
      • 分析App Store下载流量，识别伪装成VPN的可疑应用特征（如请求icloud.com的异常端口）。

    验证步骤（最小化操作）

    1. 重定向链分析： 

      curl -v https://mirrorace.org/[目标文件] | grep Location

      检查最终跳转是否指向已知恶意C2域名（如*.trackstat.net）。

    2. GitHub仓库异常检测： 

      import requests  # 获取目标仓库的最近提交记录  resp = requests.get("https://api.github.com/repos/{user}/{repo}/commits")  commits = resp.json()  # 检查提交时间是否在非正常时段（如UTC+3凌晨）  for commit in commits:      print(commit['commit']['author']['date'], commit['commit']['message'])

    3. Windows样本证书追溯： 使用sigcheck -t [恶意文件路径]验证签名证书是否存在于微软证书透明度日志，或是否已被吊销。

    修复建议

    1. 强制代理下载流量：

      • 将所有下载流量强制路由至企业沙箱，执行动态执行流分析（如检测终端命令注入、内存加载行为）。

    2. 证书链信任管理：

      • 通过Windows组策略禁用不受信代码签名机构（certutil -addstore TrustedPeople [证书导出路径]逆向排除）。

    3. 行为基线配置：

      • 在macOS中通过sysdiagnose工具捕获终端会话日志，建立正常osascript调用模式基线，触发异常时告警。

    4. 用户教育：

      • 模拟ClickFix攻击场景测试，培训用户识别诱导执行终端命令的钓鱼页面（如伪造的brew install指令）。

    关键结论：攻击链依赖合法基础设施的“信任背书”，需通过源头流量管控（阻断被劫持站点）和终端行为深度监控（拦截无文件执行）形成防御闭环。