近期，Anthropic公司推出的终端版AI代理工具Claude Code发生大规模源代码泄露，威胁组织借机利用伪造GitHub仓库，向目标用户分发Vidar窃密木马，形成典型的“热点漏洞+社会工程学”组合攻击。本文从技术层面，深度拆解此次源码泄露的技术根源、恶意攻击的技术实现链路、泄露代码的核心风险点，以及企业与个人用户的针对性防御方案，为安全从业者提供技术参考。

一、Claude Code源码泄露的技术根源与细节

1.1 泄露诱因：npm包发布的技术疏漏

此次泄露并非外部攻击导致，而是Anthropic在npm包发布过程中的低级技术疏忽——在打包Claude Code客户端程序时，不慎将用于调试的JavaScript源码映射文件（.map文件）一并嵌入发布包中，该文件大小达59.8MB，包含了工具完整的客户端源代码。

从技术原理来看，.map文件是前端/终端程序编译过程中生成的调试辅助文件，用于将压缩、混淆后的生产环境代码映射回未压缩、未混淆的源代码，方便开发者定位调试问题。正常情况下，生产环境发布的npm包应移除该类调试文件，仅保留编译后的可执行代码与必要依赖。Anthropic的疏漏在于未配置完善的npm包打包脚本，未对调试文件进行过滤，导致源码直接泄露。

1.2 泄露内容的技术维度解析

此次泄露的源码未经任何混淆、加密处理，属于“原生裸码”泄露，包含1906个文件、共计51.3万行TypeScript代码，从技术架构来看，核心泄露内容可分为五大模块，各模块均存在不同程度的安全风险：

• 调度逻辑模块：包含Claude Code作为AI代理的核心调度机制，具体涉及任务分发、进程管理、API调用优先级排序等代码，攻击者可通过分析该模块，掌握工具与系统交互的底层逻辑，为后续伪造工具、植入恶意代码提供基础。

• 权限与执行机制模块：泄露代码中包含终端权限调用、系统资源访问（如文件读写、进程监控、网络请求）的核心实现，其中包含部分未公开的权限绕过逻辑，可能被攻击者利用，实现对目标设备的高权限控制。

• 隐藏功能模块：Anthropic为Claude Code预留的未公开功能（如批量API调用、本地缓存篡改、第三方工具集成接口）的源码被完整泄露，这些功能未经过安全校验，攻击者可通过修改源码，解锁恶意功能并伪装成“增强版”工具。

• 编译细节模块：包含TypeScript代码编译为可执行程序（如Windows平台.exe、Linux平台二进制文件）的完整脚本、依赖配置、编译参数，攻击者可直接复用该编译流程，将恶意代码嵌入伪造版本，保证伪造工具的兼容性与隐蔽性。

• 安全相关实现模块：包含Claude Code的权限校验、输入过滤、API密钥加密存储等安全机制的源码，攻击者可精准定位其中的安全薄弱点（如加密算法缺陷、输入校验不严），针对性构造恶意载荷，规避工具自身的安全防护。

值得注意的是，泄露代码被下载后，短时间内在GitHub形成数千次复刻分叉，部分分叉被攻击者二次修改，植入恶意代码后重新发布，形成“泄露源码→二次篡改→伪装分发”的黑色产业链。

二、恶意攻击的技术实现链路（基于Zscaler监测数据）

威胁组织利用此次源码泄露发动的攻击，属于典型的“技术伪装+社会工程学诱骗”结合模式，整个攻击链路可分为5个技术环节，每个环节均有明确的技术实现细节，隐蔽性强、传播效率高：

2.1 第一步：恶意GitHub仓库的构建与SEO优化

攻击者通过GitHub账号“idbzoomh”发布伪造仓库，核心技术操作包含两点：一是复刻泄露的Claude Code源码，在核心模块中植入恶意代码，同时保留原版工具的大部分功能，伪装成“解锁企业级功能”“无使用限制”的增强版；二是对仓库进行搜索引擎优化（SEO），通过添加“leaked Claude Code”“Claude Code 破解版”“Claude Code 企业版”等关键词，修改仓库描述、README文件的权重，确保在谷歌等搜索引擎检索相关关键词时，恶意仓库排在搜索结果前列，提升曝光率。

此外，攻击者还搭建了第二个镜像恶意仓库，代码与主仓库完全一致，但暂时关闭“下载ZIP”功能，用于测试不同的SEO策略、下载量统计，规避GitHub的安全检测，该操作体现了威胁组织的精细化运营思路。

2.2 第二步：恶意载荷的打包与伪装

攻击者将篡改后的Claude Code源码，通过泄露的编译脚本重新编译，生成Windows平台的Rust语言可执行程序“ClaudeCode_x64.exe”，并将其打包为7-Zip压缩包。从技术角度来看，该压缩包存在两个关键伪装点：

• 文件签名伪装：通过篡改可执行程序的数字签名，伪装成Anthropic官方签名（利用签名伪造工具，模仿官方签名格式），规避Windows Defender等终端安全工具的静态检测；

• 文件大小与图标伪装：保持与官方原版Claude Code可执行程序一致的文件大小、图标，降低用户的警惕性，同时在压缩包中添加“官方破解说明.txt”等文件，强化伪装效果。

2.3 第三步：恶意程序的执行与载荷释放

当用户下载并运行“ClaudeCode_x64.exe”后，程序会执行以下技术操作，完成恶意载荷的释放与植入：

1. 前置校验：程序首先检测当前设备的系统版本、终端环境，判断是否为目标设备（优先针对Windows 10/11 64位系统，此类系统用户群体庞大，且兼容性较好）；

2. 进程注入：通过Windows API的CreateRemoteThread函数，将Vidar窃密木马的核心代码注入系统正常进程（如explorer.exe、svchost.exe），规避进程查杀，实现持久化运行；

3. 载荷分发：同步释放GhostSocks网络代理工具，修改系统网络配置，将设备流量劫持至攻击者控制的代理服务器，同时隐藏自身网络行为，避免被网络安全设备监测；

4. 自毁伪装：删除安装包与临时文件，修改系统注册表，隐藏程序启动项，实现“无痕安装”，降低被用户发现的概率。

2.4 第四步：Vidar窃密木马的技术实现

此次投放的Vidar窃密木马，属于通用型信息窃取工具，其核心技术功能围绕“全方位信息采集+隐蔽传输”展开，具体技术细节如下：

• 信息采集范围：通过挂钩系统API，采集用户浏览器密码、Cookie、表单数据，终端设备中的文档、图片、视频等文件，系统硬件信息、进程列表、网络连接记录，以及已安装软件的配置信息；

• 数据加密传输：采集到的信息通过AES-256加密算法进行加密，再通过GhostSocks代理，以HTTPS协议伪装成正常网络请求，传输至攻击者控制的C2服务器，避免数据被拦截破解；

• 反检测机制：内置反调试、反查杀逻辑，通过检测调试器进程（如x64dbg、OllyDbg）、修改自身进程特征码，规避终端安全工具的查杀，同时定期更新恶意代码特征，提升生存能力。

2.5 第五步：攻击的持续迭代与扩展

Zscaler监测数据显示，恶意7-Zip压缩包处于频繁更新状态，攻击者通过持续迭代恶意代码，实现两个核心目标：一是修复被安全工具检测到的漏洞，更新反查杀逻辑；二是新增恶意载荷，不排除后续植入勒索软件、远控木马（如Mirai）、挖矿程序等，扩大攻击危害，实现“一次植入、多重获利”。

三、泄露事件的核心技术风险与延伸影响

3.1 对Anthropic公司的技术风险

此次源码泄露不仅导致Claude Code的核心技术被公开，还可能引发一系列连锁技术风险：一是核心算法与架构被竞争对手借鉴，丧失技术壁垒；二是泄露的安全机制代码被攻击者深入分析，可能发现更多未公开的漏洞，进而针对Anthropic其他产品（如Claude大模型、Anthropic API）发动攻击；三是用户对产品的安全性信任度下降，影响产品商业化推进。

3.2 对用户的技术风险

普通用户与安全研究人员是此次攻击的主要目标，核心技术风险体现在三个层面：一是终端设备被入侵，隐私信息、敏感数据被窃取，造成财产损失或信息泄露；二是设备被植入代理工具，成为攻击者的“肉鸡”，用于发起后续攻击（如DDoS攻击），用户需承担法律风险；三是恶意载荷持续迭代，可能导致设备被远程控制、系统崩溃，造成不可逆的损失。

3.3 对行业的延伸影响

此次事件为行业敲响了两大警钟：一是AI代理工具的安全防护存在明显短板，尤其是终端类工具，直接与系统交互，一旦源码泄露，可能引发大规模攻击；二是GitHub等代码托管平台的安全治理仍有不足，攻击者可利用平台的开放性，通过伪装仓库、SEO优化等方式，快速传播恶意代码，且检测难度较大。此外，此次事件可能引发更多威胁组织效仿，借助其他热点源码泄露事件，发动类似的机会主义攻击。

四、技术层面的防御策略（企业+个人）

4.1 企业用户防御策略

• 源码与包管理安全：完善npm、Maven等包管理流程，配置打包脚本，过滤调试文件、源码文件等非生产必要内容，对发布的包进行安全校验，避免类似泄露事件；

• 终端安全防护：部署终端检测与响应（EDR）工具，开启实时监控，重点检测未知可执行程序、进程注入、异常网络连接等行为，及时拦截恶意载荷；

• 网络安全管控：配置网络防火墙规则，拦截与恶意C2服务器的连接，对GitHub等代码托管平台的下载行为进行管控，限制员工下载来源不明的仓库压缩包；

• 安全意识培训：针对技术人员开展安全培训，重点讲解源码泄露的危害、恶意仓库的识别方法，避免因好奇心下载伪造的泄露源码。

4.2 个人用户防御策略

• 规避风险下载：不搜索、不下载“Claude Code泄露版”“破解版”等非官方版本，仅从Anthropic官方渠道获取工具；

• 终端安全加固：更新终端安全软件，开启实时查杀，对下载的压缩包、可执行程序进行全面扫描，避免运行未知来源的文件；

• 网络行为监测：定期查看设备网络连接记录，发现异常代理、未知IP连接时，及时终止连接并排查设备；

• 敏感数据保护：对终端中的敏感数据（如账号密码、文档）进行加密存储，避免因设备被入侵导致数据泄露。

4.3 平台层面的防御建议

针对GitHub等代码托管平台，建议从技术层面加强恶意仓库的检测：一是建立关键词与代码特征库，对包含“leaked”“破解版”“解锁功能”等关键词，且包含恶意代码特征的仓库进行自动识别与下架；二是加强对仓库发布者的身份校验，打击匿名恶意账号；三是优化安全检测机制，对仓库中的可执行程序、压缩包进行自动扫描，及时发现恶意载荷。

五、总结与展望

此次Claude Code源码泄露事件，本质上是“人为技术疏漏+威胁组织机会主义攻击”的结合体，暴露了AI终端工具在包管理、安全防护方面的短板，也凸显了GitHub等平台在恶意代码治理中的不足。从技术角度来看，此次泄露的源码为威胁组织提供了“低成本、高隐蔽”的攻击基础，而恶意攻击的技术链路完善，从仓库伪装、载荷打包到木马执行、数据窃取，每一个环节都经过精心设计，给防御工作带来了不小的挑战。

未来，随着AI代理工具的普及，类似的源码泄露与衍生攻击可能会频繁发生。对于企业而言，需加强源码管理与安全防护，完善发布流程，降低泄露风险；对于用户而言，需提升安全意识，规避风险下载；对于平台而言，需强化技术检测与治理，遏制恶意代码传播。唯有多方协同，才能有效防范此类机会主义攻击，保障终端设备与数据安全。

参考及来源：

https://www.bleepingcomputer.com/news/security/claude-code-leak-used-to-push-infostealer-malware-on-github/