Hola 瀏覽器爆供應鏈漏洞：官方安裝檔暗藏 XMRig 門羅幣礦工

安裝之後，為咗確保自己可以長駐喺電腦入面，佢做咗以下幾樣嘢：

• 偷龍轉鳳：佢會將自己複製到

  C:\Program Files\Hola\HolaMonitorService.exe

  呢個路徑，個名聽落似足一個正當嘅瀏覽器監控組件 。
• 自動啟動：跟手佢會建立一個名為 hola_monitor_svc 嘅 Windows 系統服務，並將啟動類型設定為「自動」（0x00000002），咁樣每次開機都會自動背後運行 。
• 繞過防毒：為咗唔俾 Windows Defender 掃到，佢仲會幫自己嘅路徑加入排除清單，直接「開後門」 。
• 低調掩飾：個 me.exe 檔案冇數碼簽章、加咗殼（Obfuscated）混淆代碼，連個名都改得求求其其，目的就係要扮成一個普通系統進程，等用家同管理員都唔會覺得可疑 。

影響有幾大？

好彩嘅係，呢次事件嘅影響範圍唔算好廣。Sophos 估計只有大約 0.1% 嘅 Hola Browser 用戶中招 。比例雖然細，但係成件事完美示範咗供應鏈攻擊有幾得人驚：一個你信得過嘅軟件下載渠道，隨時可以倒戈相向，繞過曬你用家嗰邊嘅所有安全把關。

事件再次提醒我哋，就算開發人員寫嘅程式碼冇問題，如果背後嘅編譯、封裝同發佈是但一環出咗事，最終送到用家手上嘅一樣可以係「加料」版本 。

Hola 補鑊同未解之謎

Sophos X-Ops 上報之後，Hola 方面即刻做嘢補鑊同防範事件重演，佢哋嘅措施包括：

• 推倒重來：由頭到尾重建成個軟件發佈管線，務求剷除晒所有殘留嘅黑客權限 。
• 強制簽章：實施程式碼簽章驗證，唔畀任何冇簽章同未經授權嘅二進制檔案通過打包流程 。
• 落閘同監控：對發佈基礎設施收緊存取控制，同埋進行持續嘅安全監控 。

之但係，截至 2026 年 6 月 4 日事件被公開嗰日，Hola 依然有幾個關鍵問題未交代清楚：黑客究竟係點樣攻破第一道防線？係邊個做嘅？佢哋潛伏咗幾耐？成個事件嘅全面鑑證報告，公眾到而家都未睇到。呢啲空白，令呢單嘢喺網絡安全界成為咗一個警世故仔，但始終拼圖唔完整 。