答案已发布13 来源
警惕！GitHub 热门开源工具竟成“病毒搬运工”，Check Point 揭露新型恶意软件分发网络
Check Point 于 2026 年 6 月 3 日披露的大规模恶意软件行动，利用 Ghidra 等工具的高仿假网站，将用户引流至一个设有重重过滤机制的“流量分发系统”（TDS），最终投递信息窃取器等恶意负载。 该行动自 2025 年底开始活跃，已在 VirusTotal 上产生超 5000 份提交样本，受害者主要集中在土耳其、波兰、巴西和德国。经评估，其核心目的是流量获取与变现，同时也为下游恶意软件分发者提供“运输管道”。
发布者使用 DeepSeek-V4-Pro 编辑图片由 GPT Image 1.5 生成
研究答案
要点
- Check Point 于 2026 年 6 月 3 日披露的大规模恶意软件行动，利用 Ghidra 等工具的高仿假网站，将用户引流至一个设有重重过滤机制的“流量分发系统”（TDS），最终投递信息窃取器等恶意负载。
- 该行动自 2025 年底开始活跃，已在 VirusTotal 上产生超 5000 份提交样本，受害者主要集中在土耳其、波兰、巴西和德国。经评估，其核心目的是流量获取与变现，同时也为下游恶意软件分发者提供“运输管道”。
- 攻击链始于搜索引擎中热门开源工具的搜索结果，通过 CloudFront 托管的 JavaScript 脚本劫持用户在“下载”按钮上的首次点击，并利用多层反分析 TDS 系统筛选真实受害者，以躲避安全检测。
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
下载像 Ghidra 或 SpiderFoot 这样广受信赖的开源安全工具，如今已变成一项高风险操作。网络安全研究人员在 Check Point 记录了一场精密且规模庞大的恶意软件分发行动，该行动正是利用了这种信任。根据 2026 年 6 月 3 日发布的一份报告，该行动依靠一个由设计专业的山寨网站组成的网络，拦截用户流量，并将其推入一个带有严格筛选机制的系统中，以选择性地投递恶意负载 。
这并非一次简单的钓鱼攻击。这场行动结合了搜索引擎操纵、通过 Amazon CloudFront 托管的 JavaScript 实现的点击劫持，以及一个多层反分析的“流量分发系统”（Traffic Distribution System, TDS），以此逃避检测，并精准锁定最具价值的受害者。其最终目的是盈利：Check Point 评估认为，该行动根本上是流量获取和变现计划，同时也是一个面向其他恶意软件分发者的“分销管道” 。
攻击链揭秘：从一次搜索点击到恶意软件负载
感染始于用户搜索一个受欢迎的开源工具。攻击者已经部署了大量山寨网站，这些网站冒充 Ghidra、dnSpy 和 SpiderFoot 等软件的合法项目页面。这些网站设计精良，常常引用真实的开源资源，并在搜索结果中排名靠前，一眼看去，俨然就是正规的项目门户 。
Studio Global AI
继续你的研究
此页面包含一个有来源支持的答案，您可以在 Studio Global 内继续。
人们还问
“警惕！GitHub 热门开源工具竟成“病毒搬运工”，Check Point 揭露新型恶意软件分发网络”的简短答案是什么？
Check Point 于 2026 年 6 月 3 日披露的大规模恶意软件行动，利用 Ghidra 等工具的高仿假网站，将用户引流至一个设有重重过滤机制的“流量分发系统”（TDS），最终投递信息窃取器等恶意负载。
首先要验证的关键点是什么？
Check Point 于 2026 年 6 月 3 日披露的大规模恶意软件行动，利用 Ghidra 等工具的高仿假网站，将用户引流至一个设有重重过滤机制的“流量分发系统”（TDS），最终投递信息窃取器等恶意负载。 该行动自 2025 年底开始活跃，已在 VirusTotal 上产生超 5000 份提交样本，受害者主要集中在土耳其、波兰、巴西和德国。经评估，其核心目的是流量获取与变现，同时也为下游恶意软件分发者提供“运输管道”。
接下来在实践中我应该做什么？
攻击链始于搜索引擎中热门开源工具的搜索结果，通过 CloudFront 托管的 JavaScript 脚本劫持用户在“下载”按钮上的首次点击，并利用多层反分析 TDS 系统筛选真实受害者，以躲避安全检测。