ARTICLE · 1191989
OpenClaw投毒:GitHub诱饵猎杀
OpenClaw投毒:GitHub诱饵猎杀攻防实战复盘 OpenClaw投毒：GitHub诱饵猎杀 2026年10月16日 · 周五 真实攻击复盘高级 场景：2026年10月，某AI初创公司运维人员从GitHub下载OpenClaw安装包部署内部工具链。该安装包实为攻击者伪造的投毒样本，一次看似寻常的开源组件部署，拉开了一场供应链猎杀的序幕。 攻击 / 事件时间线 1 初始访问：伪装安装包投递 攻击者仿冒OpenClaw官方仓库页面，上传了带有后门的安装包至GitHub，并通过搜索引擎优化和社交平台推广诱导下载。受害者执行安装程序后，样本立即 OpenClaw伪造安装包VirusTotalCreateThread 2 环境侦察：虚拟机与沙箱规避 恶意线程启动后首先执行环境检测逻辑，通过查询注册表键值 注册表查询MAC地址指纹ExitProcess 3 载荷拉取：文本托管C2分发 通过环境检测后，样本向文本托管平台 snippet.hostVirtualAllocShellcode注入 蓝队视角 · 发现与处置 SOC团队通过EDR告警发现某终端存在异常线程创建行为，进程链为 涉及关键技术 / 工具 虚拟机环境检测与沙箱规避（注册表/进程/MAC指纹）文本托管平台（snippet.host）作为C2分发信道Sysmon Event ID 8监测远程线程创建行为 防护经验总结 #供应链投毒#GitHub钓鱼#免杀规避 数据安全早知道 · 攻防实战专栏 ⚠️ 免责声明 本文内容源自公开披露的安全事件或高仿真模拟场景，所有涉及的组织、系统、技术细节均经过脱敏处理，仅供安全学习与交流参考，不构成任何技术指导或合规建议。 数安早知道 🔗 数据安全与信息安全知识库 datasafe.website — 点击上方链接访问知识库，获取更多安全资讯 —
CreateThread创建新线程执行恶意逻辑。该样本已被上传至VirusTotal，初检引擎覆盖率为零，表明其具备较强的免杀能力。HKLM\SYSTEM\CurrentControlSet\Services\Disk\Enum、检测VBOX/VMWARE进程名及MAC地址前缀（08:00:27、00:0C:29等）判断是否运行在虚拟机中。一旦命中任一虚拟化特征，样本立即调用ExitProcess自终止，有效规避了自动化沙箱分析。snippet.host发起HTTPS请求，获取攻击者预置的后续组件下载链接。该手法将C2通信伪装为正常的文本分享流量，传统基于域名信誉的检测手段难以命中。下载的第二阶段载荷为加密Shellcode，通过VirtualAlloc分配可执行内存后注入执行，进一步窃取浏览器凭据及SSH密钥。installer.exe → rundll32.exe，触发Sysmon Event ID 8（CreateRemoteThread）。研判发现该进程向snippet.host发起HTTPS请求，域名信誉查询显示为低信誉文本托管站点。蓝队立即隔离该终端，提取内存镜像进行取证，并通过YARA规则在全员终端扫描同源样本。同时封禁snippet.host域名，排查GitHub下载记录，确认无横向扩散后完成清除。对开源组件实施哈希白名单校验：部署前比对官方发布的SHA256值，禁止直接运行未验证的GitHub Release包 在EDR中启用CreateRemoteThread（Sysmon EID 8）和ImageLoad（EID 7）监控规则，对非签名进程的远程线程创建行为实时告警 在网络层对snippet.host、pastebin.com等文本托管站点实施出站流量审计，非业务必需时直接阻断或记录全量请求日志
