GitHub 300+倉庫集體投毒：開發者搜AI工具時栽了

過去一年，GitHub上被標記的惡意倉庫數量翻了3倍。但這場代號"TroyDen's Lure Factory"的 campaign，把偽裝精度抬到了新高度——它沒偷代碼，而是直接造了一整個可信的開發生態。

Netskope Threat Labs 的研究員在排查一個異常流量時，發現了這個橫跨開發者、游戲玩家、Roblox用戶和加密貨幣持有者的釣魚網絡。攻擊者用AI批量生成300多個投遞包，每個都針對特定人群的需求定制誘餌。

一個568星開發者的"幽靈項目"

整個陷阱的核心是倉庫 AAAbiola/openclaw-docker。它偽裝成合法OpenClaw AI項目的Docker部署工具，README寫得像模像樣，Windows和Linux雙平臺安裝指南齊全，還配了獨立的GitHub.io頁面。

contributors列表里有個賬號擁有568星的真實項目，這種"借殼"操作讓倉庫看起來像是正經開發者的副業。攻擊者還注冊了大批僵尸號刷星標和fork，標簽精準打上ai-agents、docker、openclaw、LLM——全是開發者高頻搜索詞。

Netskope的研究員發現，這個倉庫的命名規律暴露了AI參與的痕跡。300多個投遞包的目錄名混雜著冷門生物分類學術語、古拉丁語和醫學詞匯，「這種組合不像人類會用的命名習慣」，報告里寫道。

攻擊者把GitHub的搜索算法當成了免費廣告位

受害者一旦下載，惡意ZIP包里藏著三重機關：Launch.bat批處理文件、改名后的LuaJIT運行時unc.exe、以及偽裝成license.txt的混淆Lua腳本。單獨提交任何一份到自動掃描平臺，結果都是"干凈"的。

只有當bat文件按特定順序調用另外兩個組件，惡意代碼才會激活。這直接利用了主流沙箱的弱點——它們習慣把文件拆開分析，而不是模擬完整的執行鏈條。

激活后的payload會執行五層反分析檢測：查調試器、看內存大小、測系統運行時長、掃進程列表、驗屏幕分辨率。任何一條沒過，就原地休眠，不留下可追蹤的行為指紋。

法蘭克福的8臺服務器與2025年6月的Telegram頻道

所有成功感染的機器，第一時間會被定位地理坐標，完整桌面截圖直傳法蘭克福的C2集群。后端用了8個IP做負載均衡，架構明顯是為大規模并發設計的。

研究員順藤摸瓜，找到一個2025年6月就注冊的Telegram頻道@NumberLocationTrack，運營者署名TroyDen。這意味著GitHub倉庫上線前，攻擊者的基礎設施已經運轉了數月。

誘餌類型鋪得極散：游戲外掛、手機追蹤器、VPN破解工具、Roblox腳本——全是灰色需求旺盛的領域。每個細分人群都有自己的"專屬倉庫"，但后臺連的是同一套德國服務器。

這種"分倉運營、統一收割"的模式，讓單點暴露的風險被攤薄到接近零

LuaJIT的選擇本身也是技術考量的結果。這種即時編譯的Lua方言，能把腳本打包成接近原生二進制性能的執行文件，同時保持腳本語言的靈活性。對攻擊者來說，這意味著更容易混淆、更難被靜態分析工具拆解。

Netskope的檢測數據顯示，這類"分體式payload"的檢出率比傳統單文件木馬低40%以上。不是因為殺毒軟件變弱了，而是自動化分析管道天生擅長看"一個文件在干什么"，而不是"三個文件配合起來會干什么"。

當開源平臺的信任機制成為攻擊面

GitHub的星標、fork數、contributor頭像、README排版——這些原本幫開發者快速判斷項目質量的信號，被攻擊者系統性地逆向工程成了信任制造流水線。

568星的真實開發者賬號怎么被卷入的？目前尚無定論。可能是被盜用的身份，也可能是攻擊者自己養號多年的長線投資。無論哪種，都說明這個 threat actor 的資源投入遠超普通黑產團伙。

Roblox玩家和加密貨幣用戶被同時 targeting 也不是偶然。兩個群體重疊度高：年輕、技術好奇心強、愿意為了"優勢"冒險運行來路不明的代碼，且數字資產變現路徑短。

「我們觀察到攻擊者在 Telegram 頻道里測試新誘餌的轉化率」，Netskope 研究員在報告中提到。這種"敏捷開發"式的攻擊迭代，讓防御方很難用靜態情報庫跟上節奏。

GitHub 官方在 Netskope 披露后下架了相關倉庫，但攻擊者的賬號體系、僵尸號網絡、以及那8臺法蘭克福服務器背后的基礎設施，大概率已經遷移到了新的偽裝項目下。

對于每天依賴GitHub搜索框找工具的開發者來說，下次看到"安裝前關閉殺毒軟件"的提示時，你會先檢查倉庫的commit歷史，還是直接點下那個綠色的Code按鈕？