投毒的 Windows 软件更新向云南目标投递植入程序
奇安信红雨滴团队报告六款国内软件的更新渠道遭劫持。分析发现，一个 Windows 植入程序会检查终端是否位于云南，并通过 DNS over HTTPS 的 TXT 记录查找控制服务器。报告公布了排查指标，未公布产品名称或受害者数量。
- 披露时间
- 2026年11月6日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 运行过这次行动中被篡改的更新包或安装程序的 Windows 系统，尤其是云南终端。
- software updates · supply chain · Windows · Yunnan
- 在野利用
- 已发现
- 红雨滴观察到更新渠道遭劫持，并分析了投递的恶意程序。
发生了什么
研究人员描述的更新客户端通过明文获取更新清单，下载地址和 MD5 摘要来自同一响应。能修改响应的攻击者可同时替换两者，并声明一个更高版本。受影响的更新流程也缺少发布者签名校验。报告没有确定每个更新渠道最初如何遭劫持。
研究人员分析了被篡改的安装包，其中一个利用 AMD 签名程序侧载同目录的恶意 DLL。后续 Windows 载荷能在内存中加载 .NET 插件，并通过计划任务持久化。一个受分析的植入程序会检查终端定位是否为云南。研究人员还依据共享基础设施及命名管道模式，将一个被修改的系统工具和一个木马化即时通讯客户端关联到这次行动。报告未公布受影响产品名称、感染数量或受害终端上实际运行的插件。
案发时间线
2026年11月6日
研究人员披露更新劫持及排查指标
报告记录恶意安装包、DLL 侧载、持久化及控制服务器发现方式。
约2026年10月下旬
红雨滴于 10 月底开始跟踪行动
报告只给出大致观察日期。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- CTF导航刊载的奇安信红雨滴技术分析一手来源记录六个已观察到的更新渠道劫持、样本行为、地域检查、持久化及详细指标。公开页面标注 11 月 6 日发布。