假開源工具網站大規模散毒！Check Point 揭幕後精密流量劫持系統

下載一個好似 Ghidra 或者 SpiderFoot 呢類咁值得信賴嘅開源安全工具，由搜尋引擎結果撳入去，已經變成一件高危嘅事。網絡安全研究機構 Check Point 紀錄咗一個精密而且遍布全球嘅惡意軟件散播活動，正正就係利用緊呢種信任。根據佢哋喺 2026 年 6 月 3 日發布嘅報告，呢個行動靠一個由設計專業嘅假冒網站組成嘅網絡，攔截用戶流量，再將佢推入一個有閘門嘅系統，選擇性咁發放惡意負載 。

呢個唔係普通嘅釣魚計劃。成個行動結合咗搜尋引擎操控、透過 Amazon CloudFront 託管嘅 JavaScript 進行點擊劫持，同埋一個多層反分析嘅流量分發系統（TDS），目的係避開偵測，淨係針對最有價值嘅受害者。最終目標主要係錢：Check Point 評估呢個操作本質上係一個流量獲取同變現嘅計劃，同時亦擔當其他惡意軟件分銷商嘅傳播渠道 。

攻擊鏈：由搜尋點擊到惡意負載

感染由用戶搜尋一個熱門開源工具開始。攻擊者部署咗一大批假冒網站，扮成 Ghidra、dnSpy 同 SpiderFoot 呢啲軟件嘅合法項目頁面。呢啲網站設計優良，經常引用真實嘅上游資源，喺搜尋結果入面排名好高，一眼望落去就好似合法嘅項目門戶網站咁 。

技術上嘅欺騙係喺用戶互動嗰陣觸發。當受害者喺呢啲網站撳一個「下載」按鈕嘅時候，一層 CloudFront 託管嘅 JavaScript 就會將嗰次點擊轉換成重新導向。就咁樣將用戶騎劫入去呢個活動嘅 TDS 基礎設施入面 。

有閘門嘅流量分發系統：過濾高價值目標

呢個 TDS 擔當一個精密嘅看門人角色，唔單止係簡單嘅重新導向。Check Point 嘅分析揭示，佢會施加多層反分析同過濾，將真正嘅受害者同安全研究員、沙盒（Sandbox）同自動化爬蟲分隔開。只有通過呢啲檢查嘅用戶，先會被引導去最終嘅惡意軟件負載 。呢種選擇性嘅傳送方式，令到成個活動更難被繪製出全貌，亦增加咗營運者眼中每次成功感染嘅價值。為咗進一步避開偵測，呢個系統仲用到每次會話密鑰（per-session keys）同一次性密鑰發放等技術 。