GitHub 仓库 README 下载诱饵分发 LuaJIT 加载器
火绒披露 GitHub README 下载诱饵投递 Windows 批处理／LuaJIT 加载器，可上传截图及系统资料、执行 C2 响应并继续下发窃密组件。样本涉及 30,738 个仓库、15,584 个账号，含伪造及部分被盗账号，不能视为受害者或感染人数。
- 披露时间
- 2026年11月4日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 下载并执行受影响仓库 README 所链 ZIP／批处理载荷的 Windows 用户或编程代理；未确立仅浏览就会感染。
- GitHub · Malware · Supply chain
- 在野利用
- 已发现
- 火绒记录实际恶意仓库分发，部分具有真实开发历史的账号遭盗用。
发生了什么
样本将下载伪装成 AI 工具及其他项目。火绒称部分仓库为伪造或克隆，另有具有真实历史的账号遭盗用。运行 Launcher.cmd 会启动改名的 LuaJIT 解释器并载入 uix.txt。加载器收集主机标识及截图，将转换后的 C2 响应作为 Lua 代码执行；进一步窃取凭据、聊天会话或钱包资料，取决于后续组件是否被下发并运行。这不能证明每个相关仓库均导致用户感染，也不能证明 GitHub 平台基础设施遭入侵。
火绒统计截至 2026 年 10 月有超过 56,000 条恶意 URL；仓库及账号总数混合不同资料类别，不能相加为受害者或假定全部账号均被盗。报告未确认受害者总数、钱包损失总额或通用清理补丁。L3 依据是已记录的开发下载恶意程序活动；GitHub 上存在 ZIP 不等于已安装或下游资料已被盗。
案发时间线
2026年11月4日
火绒发布原始攻击活动分析
研究覆盖自 2025 年起监测的活动，以及 2026 年 2 月、10 月的批量仓库改动。11 月 4 日是报告日期，不是活动起点。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- 火绒 11 月 4 日原始研究及指标、附录图片一手来源仓库、账号及 URL 数量是观察到的资料，不是受害者数；已核阅样本逆向、两个 C2、一个 SHA256、七项条件配置及 20 个恶意 ZIP 示例 URL，包括仅在图片中的表格。