很多人看到这类新闻，第一反应是“官方安装包是不是被换掉了”。但这次并不是源代码仓库被攻破，也不是签名证书失陷。根据 CPUID 官方说明，问题出在网站的一个“次级功能接口”被入侵，导致部分下载按钮跳转到了攻击者控制的恶意站点。

也就是说：

这类攻击本质上是下载分发链路被污染，也可以理解为一次典型的“官方渠道投毒”。根据公开的信息显示，被用于投毒分发的版本包括：

目前，攻击持续时间公开说法略有差异，CPUID 官方称约 6 小时，研究人员则认为恶意分发窗口大致在 4 月 9 日至 4 月 10 日之间。虽然时间不长，但已经造成了实际感染，研究人员已识别出 150 多名受害者，其中不仅有个人用户，也有企业组织。

攻击者分发的恶意样本通常包含两部分：

这里用到的是常见的 DLL加载技术。简单说，就是用户运行看似正常的软件时，程序会优先加载同目录下的恶意 DLL，进而执行木马代码。

这种手法的迷惑性很强，因为它借用了正版程序做掩护。对普通用户来说，看起来像是在运行正常软件；对部分安全检测来说，也更容易混淆视线。

恶意 DLL 启动后，会先做环境检查和反分析，再连接外部控制服务器，最终拉取并执行 STX RAT。

这不是一个简单的信息窃取器，而是一款功能较完整的远控木马，具备：

更值得注意的是，它还支持 HVNC（隐藏虚拟桌面）。也就是说，攻击者可以在用户几乎察觉不到的情况下，在一块隐藏桌面中操作浏览器、访问系统后台、执行进一步攻击。这对企业环境来说，意味着风险可能迅速从“终端中毒”升级为“账号泄露”和“横向移动”。

这起事件最重要的提醒是：官方渠道，也不等于绝对安全。

过去谈供应链攻击，大家更多关注代码仓库、构建系统和签名证书。但这次事件说明，攻击者并不一定非要打到最核心的系统，只要能控制：

就足以完成一次高成功率投毒。

换句话说，供应链安全的边界，早已不只是“代码本身”，还包括官网、接口、下载链路、对象存储和各种边缘功能。

如果你在 4 月 9 日到 4 月 10 日期间通过 CPUID 官网下载过相关软件，建议重点排查：

对于企业安全团队，还应进一步检查：

如果样本已经执行，不建议只靠“删文件、卸软件”来处理，更稳妥的方式是按疑似主机失陷进行处置，并及时修改重要账号密码、重置 MFA。