假 Solana 入门仓库借 README 安装指令投递 NetSupport 后门
Air Security 分析了一个假 GitHub 入门仓库：README 指令会下载 PowerShell 载荷，在 Windows 安装远程访问工具。仓库创建于 2025 年；10 月 29 日的披露强调编程代理搜索带来的风险。尚无已确认受害者数量。
- 披露时间
- 2026年10月29日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 在 Windows 执行过 SolanaUpdateTools/solana-starter-kit 安装指令的开发者或编程代理
- windows
- 在野利用
- 未知
- 研究人员恢复并分析了载荷；没有量化已确认的真实感染。
发生了什么
这是恶意仓库，不代表合法 Solana 项目或 GitHub 平台被攻破。README 宣称提供应用代码，实际却没有这些代码，而是给出混淆的下载并执行指令。Air 恢复的载荷使用正版 NetSupport Manager 组件，配上攻击者控制的配置及登录持久化。
研究人员展示了代理从搜索结果选择仓库、继而执行其中指令的可行路径，但这不证明所有编程代理都会照做，也无法据此统计受害者。L3 基于公开记录的投递链及其对开发工作流的影响。原始载荷 URL 返回 404，不能证明此前暴露的主机已经干净。
案发时间线
2026年10月29日
Air Security 发布恢复的 PowerShell 载荷分析
约2025年11月
恶意入门仓库创建
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Air Security SolanaCry research一手来源分析归档载荷、仅限 Windows 的执行链、持久化和 C2；检查时投递 URL 已离线。
- BleepingComputer independent payload check独立恢复了归档载荷，并确认其远程访问行为。