每日壁纸
yuanjing's blog
#安全#供应链安全#ai#挖矿木马

假冒 ChatGPT 安装包挖矿事件分析

Published on
/28 mins read/---

gpt-5-6.github.io、opus-5-0.github.io 这两个网站现在可能已经不能访问了，他们是「ChatGPT 桌面版」「Claude 安装包」这类网站的仿冒品。

我第一次刷到的时候，第一反应是：GitHub 官方开始发 AI 客户端了？当然不可能。第二反应是，这页面做得比我见过的很多正规软件官网还像回事：产品截图、功能列表、版本号、Windows 和 macOS 两个下载按钮，一应俱全。唯一露馅的地方是地址栏。

github.io 是 GitHub Pages 的公共域名，任何注册用户都能拿到 <用户名>.github.io，不用买域名、不用备案、不用审核，还是泛解析。也就是说，opus-5-0.github.io 的真实身份，只是一个叫 opus-5-0 的 GitHub 账号的静态站点，跟 Anthropic 没有一毛钱关系。

但问题就在这儿：大部分人不会多看一眼地址栏，就算看了，也未必知道 github.io 和 GitHub 官方是两回事。

10 月 27 日，Check Point Research 发了一份报告，把这个套路讲透了。他们跟踪了两个月的投放活动，起名 Yoba，报告标题叫《Tricks from the Past deployed via signed ChatGPT and Claude binaries》——老把戏，换了个新饵。

结论先说：如果你是从搜索结果、群文件、网盘、某个「官网」页面拿到的 AI 桌面客户端，那它大概率不是官方的。更重要的是，别拿「签名是真的」当安全证明——这次样本里的签名确实是真的，恶意代码也确实在跑。

如果你懒得看后面几千字，记住一个十秒判断法就行：看地址栏。官方客户端不会长在 *.github.io 上，也不会让你从一个 GitHub Release 里解压 zip。看到就关掉。

一、不是孤例，是一条流水线

2026 年 7 月 16 日，GitHub 上出现一个叫 gpt-5-6 的账号，建了两个仓库：一个放「软件介绍」，一个就是 Pages 站点 gpt-5-6.github.io。8 月 30 日，第一个恶意安装包 sol-setup.zip 挂上 Release。第二天，opus-5-0.github.io 传了 Setup-Claude.zip。9 月 4 日，gpt-6-astra.github.io 传了 GPT-6-Astra-Setup.zip。

三个「产品」，对应当时搜索量最高的几个词：GPT-5.6、Claude Opus、GPT-6 Astra。页面介绍功能，下载按钮直接指向 GitHub Release 里的 zip。整条链跑在真实的 GitHub 基础设施上：真域名、真 HTTPS、真下载。

他们没刷 star，也没刷 fork。能排在 Google 结果前面，靠的是 SEO：标题、描述、页面内容堆满搜索词，借 GitHub 的域名权重。三个账号用了三个互不相同的时区（+04:00、-04:00、+03:00），邮箱也是三个不同的 outlook 账号——报告认为这是刻意制造的不一致。

这套东西不是为 AI 发明的。更早的版本出现在 2026 年 6 月初，伪装的是 Cursor，宿主进程名是 Cursor.exe。再往前，假 Zoom、假 Telegram、假「破解版 Photoshop」都是同一套逻辑。AI 只是当下最肥的鱼饵：有地区限制、没有海外支付、想白嫖、想第一时间用上新模型，还普遍觉得「GitHub 上的东西比较技术、比较可信」。

这套戏也在别的 AI 身上演。2026 年 4 月 DeepSeek V4 预览后几个小时，就出现了假冒的 GitHub 仓库，所谓「模型文件」解压出来是 Vidar、GhostSocks 之类的木马；微软威胁情报团队发了警告，国内媒体转述过（IT之家）。2025 年底，SonicWall 分析过一个伪装成 ChatGPT 客户端的 .NET 程序，装完静悄悄塞 XMRig、拿 PowerShell 把自己的目录加进 Defender 排除列表。

更细的是对 Claude 的这一路。2026 年 7 月，Huntress 发现一条 Bing 广告：搜「claude desktop app」，赞助广告的落地页居然在 claude.ai 自己的域名上——那是一个公开的 Claude Artifact（用户生成内容）页面，被做成了 Claude Desktop 的下载页。页面在被 Anthropic 删掉之前有 7,100 次浏览，Huntress 在 29 家组织里看到了同一个安装行为。点下载会跳到 claude.ai.download-app.us 这种靠「claude.ai」字样骗眼睛的域名，最终投递的 ClaudeDesktop.exe 其实是改名的、带 JetBrains 合法签名的 jcef_helper.exe，旁边跟着被篡改的 libcef.dll——又一个白加黑。

9 月，Morphisec 还发现过一个叫 Claude-Opus-5-Free-Desktop 的 GitHub 仓库，README 写着免费、附截图和模型对比图，下载回来是个 100 MB 的 zip。66 个杀毒引擎里只有 1 个报毒。

二、为什么「看着像官方」：域名和签名

域名不是身份

github.io 是 GitHub Pages 的用户内容域名，不是 GitHub 的公司官网，而且是泛解析——随便拼个用户名都会解析到 GitHub Pages 的 IP。所以「域名能解析」「页面能打开」什么都证明不了。看到 gpt-5-6.github.io，正确的翻译是「GitHub 用户 gpt-5-6 的静态页」，不是「OpenAI 的下载站」。同理，github.com/gpt-5-6/sol-free-desktop 只是「用户 gpt-5-6 建的一个仓库」，不在 OpenAI 的官方组织下，也没有任何官方文档链接指向它。

签名只验证「谁签的」和「没被改过」

Windows 上的 Authenticode 验证三件事：PE 文件在签名之后没被改过；证书链能追到受信任的根证书；签名者身份是证书上写的主体。它不做行为分析，也不评价这个程序安不安全。

写这篇的时候，我顺手查了下自己机器上的 ChatGPT.app：

codesign -dv --verbose=4 /Applications/ChatGPT.app | head -12
spctl -a -vv /Applications/ChatGPT.app

签名者是 Developer ID Application: OpenAI OpCo, LLC (2DC432GLL2)，来源是 Notarized Developer ID，公证状态 accepted。这是官方客户端该有的样子。但这句话的边界是：它只能证明「这个 app 是 OpenAI 签的」，证明不了「你手里这个安装包是 OpenAI 发的」。攻击者可以直接把官方的 Setup.exe 塞进自己的 zip 里，一个字节都不用改。

Yoba 这个案例把这一点利用到了极致。

zip 里那个 Setup.exe 是真的。它是 OpenAI 官方签名的程序（Claude 那版换成 Anthropic 官方签名的程序）。右键看属性、点数字签名，签名有效，签名者写着 OpenAI，时间戳正常。杀毒软件扫一遍，大概率也不报——报告把这种低检出率归因于样本的反沙箱、反分析做得太好，以及签名让整个包看起来很正常。

恶意代码在旁边的 winmm.dll 里。

winmm.dll 是 Windows 自带的多媒体库。Setup.exe 启动时按 DLL 搜索顺序去加载它，攻击者把恶意的 winmm.dll 放在同目录下，于是加载到的就是这个假的。这就是 DLL 侧加载（DLL sideloading），也有人叫「白加黑」：白的是合法签名的程序，黑的是旁边那个恶意 DLL。不是漏洞，是 Windows 设计上就允许的行为。

假的 winmm.dll 导出表里有 180 个函数名，大概率是从真正的 winmm.dll 抄来的；其中 179 个函数体只有一条 ret 加 NOP，只有 DllEntryPoint 里有真代码——既像正常系统库，又缩了体积，还顺手给分析的人添堵。

还有一条更省事的路：花钱买一个真的签名。微软 2026 年 5 月拆掉了一个叫 Fox Tempest 的「签名即服务」——用伪造身份批量申请真实代码签名证书，替客户给木马签名，微软一次吊销了 1000 多张证书。所以「签名有效」有时候只说明一件事：对方愿意花几千美元买这个章。

签名可以是真的，矿机也可以是真的。 这两件事从来不矛盾，只是我们习惯把它们当成一件事。

三、链条拆解：从 winmm.dll 到 XMRig

把 zip 解开：Setup.exe、winmm.dll、v8_context_snapshot.bin、snapshot_blob.bin、vk_swiftshader.dll、vulkan-1.dll、owl-shell-runtime.json，还有一个 manifest。

这就是一套 Electron 应用的运行时骨架，看起来是从某个真实 Electron 应用里扒过来的，用来让整个包「像个正经桌面应用」。真正的恶意组件只有一个 winmm.dll。它的编译时间是 8 月 30 日 19:14，上传时间是 19:15:44，前后差 90 秒；Setup.exe 等三个文件编译于 8 月 19 日；而 D3dx9_41.dll 的时间戳甚至写到了 2076 年——一眼假。

winmm.dll（报告里叫 YobaDropper）跑起来之后做了几件事：

反沙箱。 把宿主进程的文件名做一次 DJB2 哈希，跟硬编码值 0xE6C2F326 比对——这个值对应 Setup.exe。对不上，它就不干活，而是执行 200,000 次 Sleep(5500)，加起来大约 12.73 天。然后检查键盘布局的语言 ID，命中位掩码就跳过：俄罗斯、白俄罗斯、亚美尼亚、阿塞拜疆、格鲁吉亚、哈萨克斯坦、吉尔吉斯斯坦、塔吉克斯坦、土库曼斯坦、乌兹别克斯坦、鞑靼语。乌克兰以前常被排除，这次不在名单里。最后检查管理员权限，不是就弹「Please run this program as Administrator.」然后退出。

持久化。 把 C:\Windows\System32\WMPDMC.exe（Windows Media Player 的系统组件）复制到 C:\ProgramData\WMProcess\，把解密后的恶意 DLL 以 wmpdui.dll 的名字丢进同一个目录，注册计划任务：作者写 Microsoft Corporation，描述写 Collects device metadata for Windows Media Player.，开机后延迟 3 分钟（PT3M），以 Local System（S-1-5-18）运行。任务计划程序里看，就是一个「微软的、系统级的、名字正常的」任务。

拿指令。 被任务拉起来的 wmpdui.dll（YobaLoader）访问 Telegram 频道 t.me/yoba_fanclub，取频道头像最后 50 字节做种子，用形容词、名词、动词三组词表加一个 0–999 的数字生成 形容词-名词-动词-数字.dedyn.io 域名（DGA）；再用 Google 的 DoH 接口查这个域名的 TXT 记录，拿回 Ed25519 验签、AES 加密的指令；最后从 files.catbox.moe 下载载荷。Telegram、Google DNS、Catbox 都是「正常服务」，流量走 HTTPS，没有固定 C2 域名可封。

执行。 载荷注入 svchost.exe，跑起来的是 XMRig 6.26.0。

报告说 YobaLoader 是通用加载器——今天下矿机，明天可以下窃密木马、勒索软件。控制端换指令即可，相当于一个可远程换弹的发射器。

四、矿机是怎么工作的

到了技术人员最关心的部分：为什么这东西能让你的 CPU 一直转，以及它的参数为什么那么配。

门罗币和 RandomX

XMRig 挖的是 Monero（门罗币）。Monero 的 PoW 叫 RandomX，2019 年底启用，设计目标就一个：让 CPU 挖矿比 GPU、ASIC 更有竞争力。

RandomX 的机制大概是这样：

  • 它先用一段随机生成的程序，在虚拟机里执行大量整数、浮点、AES 指令，最后取哈希。每次挖矿都要重新生成程序，所以很难专门做 ASIC。
  • 每个挖矿线程要 2 MiB scratchpad；快速模式还要约 2 GB 的数据集（轻量模式用约 256 MiB 缓存）。这决定了它非常吃内存带宽。
  • 解释执行太慢，所以实现里用 JIT 把虚拟机字节码编译成本地代码再跑——CPU 的乱序执行、缓存、AES-NI 全都能吃满。

结果就是：开着矿机的机器，CPU 和内存带宽会持续高负载，风扇一直转，功耗明显上升。这不是 bug，是算法设计的结果。

XMRig、矿池和 share

XMRig 是开源的 C++ 矿工，支持 RandomX、CPU/GPU 多种后端。它干的事其实很朴素：

  1. 从矿池拿一个「job」（当前区块头 + 难度目标）；
  2. 用指定线程数不停算 nonce，直到算出满足难度的哈希；
  3. 把结果作为 share 提交给矿池，矿池按 share 份额给矿工结算收益。

矿池协议通常是 Stratum，可以走 TLS；矿工也可以配置 SOCKS5 代理。收益直接打到配置里的钱包地址——所以查一台机器是不是矿机，钱包地址、矿池地址、stratum 这些字符串是最直接的线索。

XMRig 有几个对挖矿效率很关键的优化，这些在恶意样本里也都能看到：

  • huge pages：大页内存能减少 TLB miss，提升 10%–30%；
  • MSR 调优：通过写 CPU 的 MSR 寄存器调内存时序/预取，需要 ring0 权限——所以恶意样本会加载 WinRing0 这类驱动；
  • 线程数/亲和性：按物理核数配置，绑定核心；
  • 空闲时挖矿：检测系统空闲时间（Windows 上一般就是 GetLastInputInfo），用户一动键盘鼠标就暂停，空闲若干秒后恢复。这是它白天不容易被发现的关键。

Yoba 这次的配置：85% 的 CPU 线程提示（--cpu-max-threads-hint 85）、用户活跃时暂停、空闲 240 秒恢复、连 .onion 矿池走 TLS、本地 Tor SOCKS5、自带 Tor 0.4.9.12 和 lyrebird 网桥、加载 WinRing0 驱动、互斥体 Local\WindowsSecurity、捐赠级别 0（XMRig 默认 1%，攻击者关了）。这不是随便撒的挖矿脚本，是专业矿工的配置。

为什么偏偏是挖矿

变现路径最短。勒索要谈判、要处理备份、可能被执法盯上；卖数据要找买家、要验货；挖矿只要接上矿池，算力就是钱，自动结算，受害者不报案、不重装、甚至不知道。成本几乎为零：GitHub Pages、Release、Telegram、Catbox、Tor 都免费，ddns 域名几块钱，电费还是受害者出。

收益量级（粗估）：按 2026 年 10 月行情，全网算力约 6.35 GH/s，每天新出约 432 枚门罗币，币价约 600 美元；一台 8 核机器按 8 kH/s 满速跑一天大概 0.33 美元。单台确实少得可怜，但一万台就是每天三千多美元，而且它不需要你「成功」很多次，只需要你「一直没发现」。

所以这类木马经常「套餐化」：同一套加载器，挖矿、偷浏览器 Cookie、偷加密钱包、装远控，能上的都上。挖矿负责持续产生小收益，窃密负责一次性大收益。

五、自查：怎么判断自己中没中招

先说清一件事：杀毒软件不报，不等于没中。这次的样本检测率极低（SonicWall 那个样本当时 2 个引擎报毒，Morphisec 的样本 1/66），因为反沙箱、反分析、白加黑都能压低检出。技术人员的优势是：可以看行为，而不是等特征库。

如果只有五分钟，先做四件事：看空闲时的 CPU 基线、查 Defender 排除项、搜计划任务里指向 ProgramData 的路径、看有没有连矿池或 Tor。四条里中任何一条，就往下走完整流程。

下面按「先看快照，再看持久化，再看网络，最后看内存」的顺序来，命令以 Windows 为主，macOS 单独说。

1. CPU 基线：先看它在干什么

别只看任务管理器那一瞬间。先采一段时间的样本：

# 按百分比排序（不是累计 CPU 秒数）
Get-CimInstance Win32_PerfFormattedData_PerfProc_Process |
  Where-Object { $_.Name -notin '_Total', 'Idle' } |
  Sort-Object PercentProcessorTime -Descending |
  Select-Object -First 15 Name, IDProcess, PercentProcessorTime

更可靠的是 Get-Counter，连续采 30 秒看平均：

Get-Counter '\Process(*)\% Processor Time' -SampleInterval 1 -MaxSamples 30 |
  ForEach-Object { $_.CounterSamples } |
  Where-Object { $_.InstanceName -notin '_total', 'idle' } |
  Group-Object InstanceName |
  ForEach-Object {
    [pscustomobject]@{
      Process = $_.Name
      AvgCPU  = [math]::Round(($_.Group | Measure-Object CookedValue -Average).Average, 1)
    }
  } | Sort-Object AvgCPU -Descending | Select-Object -First 15

几个判断点：

  • 是不是「用户不动的时候才高」。这是 idle mining 的典型特征。锁屏放十分钟，再用另一台机器远程看，或者用性能监视器记日志，比盯着屏幕看更有用。
  • 进程的真实身份。同样叫 svchost.exe，正常的在 System32 下、有对应服务；被注入的进程命令行可能正常，但线程里跑着别的东西，或者加载了不在预期路径的模块。
  • 签名和路径。签名进程也可能有问题（宿主是白的，加载的 DLL 是黑的）。重点看它加载了哪些模块、路径在哪。

2. 命令行和矿工特征

直接搜矿工和矿池的字符串，这是最省事的一刀：

Get-CimInstance Win32_Process |
  Where-Object { $_.CommandLine -match 'stratum|randomx|xmrig|donate-level|--tls|socks5://' } |
  Select-Object ProcessId, Name, ExecutablePath, CommandLine

XMRig 的典型命令行里会有 stratum+tcp://（或 TLS 的 stratum+ssl://）、rx/0（RandomX 算法名）、--donate-level、钱包地址。钱包地址本身也好认：门罗币地址固定 95 个字符，通常以 4 或 8 开头。

3. 持久化：计划任务、服务、启动项

恶意软件要活过重启，就得在这里留东西：

# 计划任务：命令里带 ProgramData/Temp 的，或伪装成微软的
Get-ScheduledTask | ForEach-Object {
  $task = $_
  $xml = Export-ScheduledTask -TaskName $task.TaskName -TaskPath $task.TaskPath
  if ($xml -match 'ProgramData|\\Temp\\|WMPDMC|wmpdui') {
    [pscustomobject]@{ Path = $task.TaskPath; Name = $task.TaskName }
  }
}
 
# 服务：路径不在 System32/Program Files 的
Get-CimInstance Win32_Service |
  Where-Object { $_.PathName -and $_.PathName -notmatch 'System32|Program Files' } |
  Select-Object Name, PathName, StartMode, State

Yoba 留下的具体痕迹（报告里的）：

  • %ProgramData%\WMProcess\ 目录，里面是 WMPDMC.exe + wmpdui.dll；
  • 计划任务：作者 Microsoft Corporation，描述 Collects device metadata for Windows Media Player.，开机延迟 3 分钟，SYSTEM 运行；
  • 互斥体 Local\WindowsSecurity；
  • %TEMP%\torbundle\data（Tor 数据目录）、WinRing0 驱动服务。

这些会变，但「计划任务伪装成微软 + 执行路径在 ProgramData」这个组合很好用。

4. Defender 配置：攻击者最爱加排除

这是很多人会忽略、但非常有效的一步：

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled, AntivirusEnabled

这次几个样本（SonicWall 的、Morphisec 的、FakeAgent 的）都有「把安装目录或 AppData 加进 Defender 排除」的行为。你自己的机器上如果出现你没加过的排除项，基本可以直接进排查流程了。

5. 网络：矿池、Tor、DoH

矿机一定要连出去。看现存的连接和对应进程：

Get-NetTCPConnection -State Established |
  Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort, OwningProcess |
  Sort-Object RemotePort

常见的矿池端口有 3333、4444、5555、7777、14444、45560，但别只认端口——现在大部分矿池都走 443/TLS。更值得看的是：

  • 进程连出去的目的地是不是从没见过的域名/IP；
  • 有没有 Tor 相关的进程或连接（Yoba 自带 Tor 和 obfs4 网桥，流量看起来像普通 TLS）；
  • DNS 日志里有没有大量 *.dedyn.io 之类的动态域名；
  • 网关/防火墙上看有没有 DoH 流量（dns.google、cloudflare-dns.com）——攻击者用 DoH 查 TXT 拿指令，传统 DNS 日志是看不到的。

网络层最靠谱的做法是出站白名单 + 全流量日志，而不是逐个 IP 查黑名单。

6. 内存和文件：适合深挖

  • Process Explorer / System Informer：看进程的签名、命令行、加载的 DLL 路径、线程；重点找「签名程序 + 非预期路径 DLL」，以及 svchost.exe 里的异常线程。
  • Autoruns：一次看全启动项、服务、计划任务、WMI 订阅；打开签名校验，接 VirusTotal 看哈希。
  • Sysmon：如果装了，事件 ID 1（进程创建）、3（网络连接）、8（CreateRemoteThread）、10（进程访问）、11（文件创建）、22（DNS 查询）基本能把这条链拼出来。
  • pe-sieve / hollows_hunter：扫进程注入、模块镂空，适合确认「白进程里跑了黑代码」。
  • YARA：Check Point 报告里附了 YobaDropper / YobaLoader 的规则，可以直接拿去扫样本或内存。

macOS 也查一遍

# CPU 占用 Top
ps -Ao pid,ppid,%cpu,comm -r | head -15
 
# 建立中的连接
lsof -nP -iTCP -sTCP:ESTABLISHED | head -30
 
# 非苹果的 LaunchAgents / LaunchDaemons
launchctl list | grep -v 'com.apple' | head -30
ls -la ~/Library/LaunchAgents /Library/LaunchDaemons
 
# 功耗（需要 sudo）：矿机会让 CPU 功耗和频率持续顶格
sudo powermetrics --samplers cpu_power -i 2000 -n 5

macOS 上同样有签名、公证和 Gatekeeper，但它们只解决「谁发的」问题。Jamf 分析过的 macOS 后门 ChillyHell 就是签了名、也过了公证的。用 codesign -dv --verbose=4、spctl -a -vv、xcrun stapler validate 检查 App 的签名者，但别把「有签名/已公证」当成安全结论。

中招了怎么处理

  1. 先断网，再抓现场：进程列表、网络连接、计划任务、可疑文件哈希，能导出的都导出。别急着重启。
  2. 别指望手工清干净。有持久化、有注入、可能加载了内核驱动，删文件删不干净。备份数据（只备份文档、照片、代码），然后重装系统。
  3. 换密码、撤销密钥。改重要账号密码并开两步验证；检查支付记录和加密钱包；开发者要重点看 SSH key、GitHub token、CI 密钥、云厂商 AK/SK 有没有被动过。
  4. 上报。把样本哈希、域名、IP 交给安全团队或厂商；如果是在公司网络里，别自己处理，叫 IR。

六、团队侧：别只靠员工「小心点」

这次攻击能绕过不少检测，靠的是「可信平台 + 合法签名」两个壳，所以团队的防线要往「控制执行」和「控制来源」上挪：

  • 收掉本地管理员权限。 样本自己就要求管理员，没权限它直接退出。
  • 应用控制和统一分发。 WDAC、AppLocker 默认只允许已知程序运行；再配 MDM 和内网软件目录。与其一刀切禁止 AI 工具（员工会用，而且是刚需），不如给个合法出口。
  • 检测点布在行为上。 签名进程加载异常路径 DLL、svchost.exe 被注入、伪装成 Microsoft 的计划任务、ProgramData 下出现 WMPDMC.exe、Tor / .onion / DoH TXT、WinRing0 驱动、Defender 排除项被改、CPU 长时间异常——这些比文件哈希更抗变种。
  • 培训讲三件事：官方渠道是哪几个、GitHub Pages 不等于 GitHub 官方、签名通过不代表安全。

七、最后

签名可以是真的，矿机也可以是真的。攻击者不需要你笨，他只需要你在想用上最新 AI 的那几分钟里，稍微着急了一点。

先看一眼地址栏，软件尽量从官方渠道下载。

参考与延伸阅读

← Previous post多设备 SSH 鉴权：一次配置，处处通行

评论区未配置

在 .env 中填入NEXT_PUBLIC_GISCUS_REPO/NEXT_PUBLIC_GISCUS_REPOSITORY_ID/NEXT_PUBLIC_GISCUS_CATEGORY/NEXT_PUBLIC_GISCUS_CATEGORY_ID 后重新构建站点即可启用评论。