Hola浏览器供应链攻击：加密矿工如何潜入Windows安装程序

一旦成功安装，该恶意软件会通过一系列精心设计的操作来实现长期潜伏：

• 文件复制： 矿工会将自身复制到

  C:\Program Files\Hola\HolaMonitorService.exe

  ，这个路径和文件名经过精心挑选，看起来像是一个合法的浏览器监控组件。
• 创建服务： 它会创建一个名为 hola_monitor_svc 的Windows服务，并将其启动类型配置为 0x00000002，确保每次系统启动时该服务都会自动运行。
• 规避杀软： 为了绕过系统内置的防病毒扫描，恶意软件会为Windows Defender添加一个路径排除项。
• 伪装与匿名： me.exe 二进制文件没有数字签名、经过代码混淆，并且缺少有效的时间戳。安全研究人员指出，选择 me.exe 这个文件名本身似乎就看中了它的平淡无奇，使其能轻易融入众多合法进程中而不显眼。

有限但严重的攻击面

这次攻陷波及的范围相对较窄。Sophos估计，仅有大约 0.1%的Hola浏览器用户 受到影响。尽管只占用户群的很小一部分，但该事件代表了一次教科书般的供应链攻击：一个受信任的软件分发渠道被用来反过来对付其用户，绕过了用户对官方安装程序应有的安全审查。

这次攻击并非意味着Hola的源代码被攻破。相反，它凸显了软件构建与发布管道中的脆弱性——这提醒我们，即使开发人员写出了干净的代码，编译、打包或分发环节的失陷也可能污染最终产品。

Hola如何应对

在Sophos X-Ops报告该发现后，Hola迅速采取行动以遏制威胁并防止事件重演。公司的补救措施包括：

• 从零开始重建分发管道，以消除任何残留的攻击者访问权限。
• 实施代码签名验证，以阻止无签名和未经授权的二进制文件通过构建流程。
• 对分发基础设施引入更严格的访问控制和持续监控机制。

然而，截至2026年6月4日事件公开披露，一些关键问题仍未得到解答。Hola尚未公开披露具体的攻击媒介——分发管道最初是如何被攻破的——也未说明威胁行为者的身份或其潜伏的时间跨度。完整的取证图像仍未向公众开放，这一信息缺口给用户和安全社区留下了一个警示故事，却缺少了对威胁的完整理解。