锁定钓鱼攻击：LinkedIn 招聘骗局中的恶意代码分析

查找币:余老师 | 漏洞披露 | 2026-05-09 20:06 | 8 次浏览 | 0 条回复

查找币漏洞披露安全研究 Web3安全区块链安全

> 查找币安全团队 | 2024-04-02 ## 背景概述近期，Web3 安全领域再次敲响警钟。我们在 X 平台注意到安全研究员 @_swader_ 发布的一则遭遇帖，揭露了一起针对区块链工程师的 LinkedIn 招聘钓鱼事件。这类攻击手法近年来屡见不鲜，攻击者利用求职者对高薪岗位的渴望，精心设计陷阱以窃取敏感数据和加密资产。本文将深度拆解该攻击案例的技术细节，帮助社区成员识别并防范此类威胁。 ## 攻击过程还原 ### 初始接触受害者 Bruno 收到自称项目方人员的主动联系，对方发送了详尽的项目介绍，声称正在开发一款基于 Socifi 游戏的质押智能合约平台，核心功能包括： - 去中心化交易所 - 游戏集成 - 多游戏社区功能 - NFT 与代币系统 - 直播服务招聘流程看似正规：背景调查、在线编程测试、技术面试。攻击者通过电话沟通制造紧迫感，并立即提供了 Bitbucket 仓库链接： ``` https://bitbucket[.]org/ventionteam/gameplatform/src/main/ ``` ### 代码仓库分析仓库中显示的用户和提交记录时间线表明，这是一个近期创建的恶意项目。攻击者精心伪造了项目历史和代码结构，以降低受害者的警惕性。 ## 恶意代码深度剖析 ### 表面伪装首先检查 `package.json`，未发现可疑的第三方 NPM 模块，说明攻击者并未采用常见的恶意依赖注入手法。继续分析 `server.js` 文件。初看第 47 行似乎一切正常，但仔细检查第 46 行时，发现了一个微小的水平滚动条——这暗示右侧隐藏着异常内容。 ### 加密 Payload 解密拖动滚动条后，发现一段经过多重加密的恶意 payload。攻击者使用了 Base64 编码进行混淆，且加密层级不止一层。 **技术细节**：该 payload 在运行 `npm start` 后正常启动，但后台会执行恶意操作。我们通过 Hook 技术成功捕获了 C2 服务器地址： ``` 216.173.115[.]200 95.179.135[.]133 45.59.163[.]56 45.59.1[.]2 5.135.5[.]48 ``` 恶意请求示例： ``` http://216.173.115[.]200:1244/s/bc7302f71ff3 ``` 值得注意的是，该恶意请求成功绕过了 Little Snitch 等安全软件的监控检测，反映出攻击者具备较高的反检测能力。 ### 核心恶意组件攻击者部署了两个主要恶意文件： 1. **.npl 木马**：用于权限维持 - 解码后下载名为 `pay` 的 Python 程序 - 通过 Python 执行实现持久化控制 2. **test.js**：数据窃取模块 - 盗取浏览器插件钱包数据 - 窃取浏览器保存的账号密码 - 监控特定目录（如 macOS 的 `/Library/Keychains/`） ### 攻击链完整流程一旦受害者运行代码，payload 将执行以下操作： 1. 收集系统环境数据：主目录、平台、主机名、用户名等 2. 向远程 C2 服务器发起 HTTP 请求，获取后续 payload 3. 将获取的恶意文件写入本地文件系统（通常位于主目录） 4. 使用 Node.js 的 `child_process.exec` 执行这些文件 5. 持续回传系统数据到 C2 服务器 6. 保持心跳包连接，失败时自动重试 7. 监控用户行为，为窃取加密资产做准备 ## 威胁评估与防护建议 ### 用户层面防护 - **警惕招聘钓鱼**：对要求下载或运行 GitHub/Bitbucket 代码的招聘信息保持高度警惕。优先通过企业官网、官方邮箱核实发件人身份，拒绝“限时高薪”等诱导话术 - **代码审查习惯**：处理外部代码时严格审查项目来源及作者背景，在虚拟机或沙盒环境执行可疑代码 - **文件安全策略**：对 Telegram、Discord、LinkedIn 接收的文件保持警惕，禁用自动下载功能，手动扫描文件后再处理 - **账户安全加固**：启用多因素认证，定期更换高强度密码，避免跨平台重复使用 ### 企业层面防护 - **员工安全意识培训**：定期组织钓鱼攻击模拟演练，培训识别仿冒域名及异常请求的能力 - **技术防护部署**：部署邮件安全网关拦截恶意附件，监控代码仓库敏感信息泄露 - **应急响应机制**：建立钓鱼事件应急响应流程，通过技术防护与人员意识相结合的多维策略降低风险 ## 结语这起 LinkedIn 招聘钓鱼事件再次提醒我们，Web3 领域的攻击手法正在不断进化。攻击者利用求职者的信任心理，结合技术手段实施精准打击。作为安全从业者，我们呼吁社区成员保持警惕，遵循安全最佳实践，共同维护 Web3 生态的安全环境。 **本文由查找币安全团队整理发布**

锁定钓鱼攻击：LinkedIn 招聘骗局中的恶意代码分析

查找币安全研究院

主题延伸阅读