冒充 KuCoin 的安全邮件诱导用户下载 Overlord 远控软件
GCSA 核阅了冒充 KuCoin 的钓鱼邮件，确认 Windows 下载文件含 Overlord 远控客户端。Windows 及两个 macOS 样本使用相同的回连地址。GCSA 称 KuCoin 收到通报后为 ku.com 启用了 DMARC 隔离策略。感染设备数量及损失仍不明。
- 披露时间
- 2026年11月5日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 收到虚假账户安全邮件的 KuCoin 用户，尤其是输入了凭据或运行了仿冒安全中心提供的 Windows 或 macOS 下载文件的用户。
- KuCoin · 钓鱼 · 恶意软件 · DMARC
- 在野利用
- 已发现
- GCSA 核阅了实际送达的钓鱼邮件，确认 Windows 下载文件含 Overlord 载荷。
发生了什么
钓鱼邮件冒充 KuCoin 安全中心发出紧急账户警报。GCSA 发现，邮件显示的发件人为 security@ku.com，SPF 和 DKIM 验证通过的是攻击者的 ku-security[.]com 域。由于 ku.com 缺少 DMARC 记录，该域当时没有为未通过对齐检查的邮件发布隔离或拒收策略。GCSA 称 KuCoin 收到通报后启用了隔离策略。
仿冒网站提供 Windows 和 macOS 下载文件。GCSA 通过静态分析确认 Windows 样本为 Overlord 客户端。Windows、macOS arm64 和 macOS amd64 样本含有相同的回连地址。运行下载文件会带来远程控制风险。调查证实了钓鱼邮件投递和恶意软件分发。收件人是否运行过文件、损失资金或遭到账户入侵仍不明。现有证据涉及冒用 KuCoin 发件身份，报告未证实 KuCoin 基础设施遭访问。
案发时间线
2026年10月29日
GCSA 发现 ku.com 缺少 DMARC
研究人员发现，SPF 和 DKIM 验证通过的是实际投递域，与发件人字段 From 显示的域不同。
2026年11月5日
GCSA 发布样本分析与 KuCoin 的回应
GCSA 确认 Windows 下载文件为 Overlord，并称 KuCoin 核实了配置问题，已为 ku.com 启用隔离策略。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- GCSA 原始调查一手来源记录已送达的钓鱼邮件、发信域对齐问题、仿冒下载页、Windows 静态分析、三个样本的回连地址及 GCSA 收到的 KuCoin 回应。
- KuCoin 账户安全指南一手来源介绍防钓鱼码、官方核实渠道及账户防护措施。这是通用指南。