駭客在 GitHub 散布假資安工具，利用 Visual Studio 編譯流程植入後門
原始來源： iThome · 2026/11/09
資安廠商 Dr.Web 揭露，攻擊者在 GitHub 散布偽裝成資安掃描、安全測試與日誌分析工具的惡意專案，將惡意邏輯藏入 Visual Studio 專案檔的 PreBuildEvent 與設定檔，以及 Python、Go 原始碼中大量空白字元之後。開發者或研究人員在 Visual Studio 開啟或編譯時即可能執行惡意指令，後續下載載入程式，部署遠端存取後門、錢包地址替換與資訊竊取工具。調查時已有超過 2,000 台電腦受感染。從 GitHub 取得的專案應先在隔離環境檢視專案檔與建置腳本，再考慮編譯。
重點先看
假資安工具利用 Visual Studio PreBuildEvent 在編譯前執行惡意指令。請先在隔離環境檢查專案檔與建置事件，再於工作電腦編譯。
發生了什麼
依 iThome 2026/11/09 報導，Dr.Web 發現攻擊者在 GitHub 以資安工具為餌散布惡意專案，調查時已有超過 2,000 台電腦感染。早期惡意儲存庫約兩年前出現，當時包裝成區塊鏈遊戲、機器人或作弊工具；近期轉向資安人員，偽裝成掃描自動化、安全測試與日誌分析工具，其中一個假專案號稱可整理 Fscan 掃描結果。 在 Visual Studio 專案中，攻擊者利用 .csproj 的 PreBuildEvent 在編譯前執行惡意指令，.suo 內亦藏有 PowerShell 命令。Python 與 Go 原始碼則把惡意內容放在大量空白字元之後，增加人工檢查難度。
後續惡意行為
惡意指令會下載加密資料並解密出壓縮檔，內含 Electron 載入程式，再下載其他模組並嘗試注入 Windows 合法行程。載入程式會嘗試停用 Microsoft Defender、使用者帳戶控制與系統還原，並以竄改 AMSI、ETW 等方式規避偵測，部分功能還會嘗試移除其他防毒軟體。 後續模組包括遠端存取後門、加密貨幣錢包地址替換（竄改剪貼簿並擷取螢幕）以及資訊竊取程式，目標包含瀏覽器資料、VPN 設定、遠端工具組態與通訊軟體權杖，並透過即時通訊機器人外傳。
建議立即處置
會下載 GitHub 專案、PoC 或資安工具的團隊，建議依序處理： 1. 未審核的專案只在隔離虛擬機或無公司密鑰的環境開啟。 2. 編譯前檢查 .csproj／.vbproj 的 PreBuildEvent、PostBuildEvent、.suo 與其他建置腳本。 3. 檢視 Python、Go 等原始碼是否在大量空白或異常編碼後藏有下載與執行邏輯。 4. 禁止在已登入公司帳號的工作電腦直接編譯來路不明的 PoC。 5. 端點監看「編譯後立即外連、停用防護、行程注入」等行為。 6. 建立核准的工具來源清單，並以軟體組成分析持續檢查。
為什麼重要
受害者正是最可能下載並編譯概念驗證程式（PoC）的人：資安研究員與開發者。攻擊不依賴應用程式的遠端漏洞，而是濫用「信任專案檔與建置流程」的習慣。套件組成分析（SCA）主要檢查已知惡意或有漏洞的第三方套件，對寫在專案檔或建置腳本裡的惡意指令通常無效，因此不能只靠 SCA。 建議以 Checkmarx 的靜態應用安全測試（SAST）搭配 SCA，並人工審查專案檔與建置腳本；未審核專案應在隔離環境開啟與編譯，再由 DevaEye MDR 託管防護監看編譯當下的異常行為。
Cloudforce 可以協助哪些？
針對假資安工具經建置流程植入後門的風險，請對準下列防線： 1. Checkmarx（SAST＋SCA）：以靜態應用安全測試（SAST）檢查專案與原始碼中的高風險模式；以套件組成分析（SCA）檢查已知惡意或有漏洞的第三方套件。請注意：SCA 通常無法偵測寫在 Visual Studio PreBuildEvent／PostBuildEvent 或建置腳本中的惡意指令，必須搭配 SAST 與人工審查專案檔（例如 .csproj、.suo）與建置腳本。 2. 人工審查與隔離編譯：下載 GitHub 專案或概念驗證程式後，先在無公司密鑰的隔離環境開啟，檢查建置事件與隱藏惡意碼，通過後再考慮在受控環境編譯。 3. DevaEye MDR 託管防護：7×24 監看編譯與執行當下的異常行為，例如非預期啟動 PowerShell、下載載入程式、對外連線、停用防護或行程注入，協助在建置腳本惡意邏輯繞過 SCA 時仍能發現與應變。 4. DevaEye 軟體安全檢測與 Vibe coding 開發治理：盤點開發／測試工具來源，建立核准清單與變更審核，降低未審核專案進入工作電腦的機會。
常見問題
只下載不編譯安全嗎？
風險較低，但仍應避免在工作電腦開啟含 .suo 或會自動載入腳本的專案檔；最安全是先在隔離環境靜態檢查。
為什麼資安與開發人員也成為目標？
攻擊者專門把專案包裝成掃描與測試工具，符合研究人員會下載並編譯驗證的工作習慣。
要檢查哪些檔案？
至少檢查專案檔中的建置事件、.suo、安裝說明中要求執行的指令，以及原始碼尾端異常空白後的內容。
已經編譯過可疑專案怎麼辦？
視同端點可能失陷：隔離主機、檢查防護是否被停用、輪換該主機可存取的憑證，並由資安團隊進行清除與調查。
只靠 SCA（套件組成分析）夠不夠？
不夠。SCA 主要偵測已知惡意或有漏洞的第三方套件，對寫在專案檔或建置腳本（例如 Visual Studio PreBuildEvent）的惡意指令通常無效。應以 Checkmarx SAST＋SCA 搭配，並人工審查專案檔與建置腳本，必要時在隔離環境編譯。
DevaEye MDR 託管防護能如何協助？
MDR 可監看編譯與執行當下的異常行為，例如非預期啟動 PowerShell、異常對外連線、停用防護或行程注入，補足 SCA 看不到建置腳本惡意指令時的偵測與應變。