▸奇安信披露AI时代国产Electron软件供应链攻击活动，攻击者伪造OpenClaw安装包在GitHub钓鱼

▸恶意样本具备虚拟机检测能力，检测到虚拟环境即退出以规避分析

▸攻击者利用snippet.host文本托管网站分发后续组件，隐蔽性强

▸加密payload被分段嵌入软件免责声明资源中，加载时组合解密

▸疑似某虚拟手机服务商官网安装包遭供应链攻击，波及下游用户

📋

监管动态

1条

CNCERT网络安全工作委员会动态 政策

CNCERT/CC发布网络安全工作委员会相关通知，涉及应急服务支撑单位改选及年度工作会议安排。该委员会持续推动国内网络安全应急体系建设，协调各支撑单位开展安全事件响应工作。相关公告显示新兴信息技术安全议题正受到更多关注。

📎 CNCERT · 2026-10-02

🚨

安全事件

2条

AI时代国产Electron软件供应链攻击活动披露 紧急

奇安信红雨滴团队披露一起针对国产Electron软件的供应链攻击活动。攻击者伪造OpenClaw安装包并上传至GitHub页面进行钓鱼，安装包已被上传至VirusTotal。受害者运行后，样本创建新线程执行恶意行为，首先检测当前环境是否在虚拟机中，检测到即退出以规避沙箱分析。随后访问文本托管网站snippet.host获取后续组件下载链接，攻击者将加密payload分段插入软件免责声明中作为资源，加载时分段提取组合解密。

📎 奇安信威胁情报 · 2026-10-02

疑似虚拟手机服务商官网安装包遭供应链攻击 高

奇安信威胁情报披露代号“猪猪侠”的攻击活动，疑似某虚拟手机服务商官网安装包被植入后门。攻击者通过篡改官方下载渠道的安装包，使下游用户在正常安装过程中感染恶意程序。该事件再次凸显软件供应链环节的脆弱性，尤其是中小型服务商的分发渠道安全防护不足。

📎 奇安信威胁情报 · 2026-10-02

🔓

漏洞预警

1条

Electron应用供应链投毒风险预警 高

结合近期多起Electron软件供应链攻击事件，攻击者倾向于伪造知名开源工具安装包并在GitHub等平台分发。Electron框架因跨平台特性被广泛使用，但其依赖链复杂、安装包体积大，为攻击者隐藏恶意代码提供了便利。建议开发者对依赖包进行完整性校验，用户仅从官方渠道下载软件。

📎 奇安信威胁情报 · 2026-10-02

⚠️

风险提示

3条

恶意样本虚拟机检测规避分析 中

奇安信披露的样本具备虚拟机环境检测能力，运行后首先判断是否处于虚拟机中，若检测到则立即退出，大幅增加安全研究人员动态分析难度。该技术已被多个攻击团伙采用，建议分析人员在真实或经过反检测处理的沙箱环境中开展样本分析。

📎 奇安信威胁情报 · 2026-10-02

snippet.host被滥用为恶意载荷分发渠道 中

攻击者利用文本托管网站snippet.host设置后续组件下载链接，该平台因提供匿名文本分享功能而被滥用。恶意样本通过访问该网站获取指令或下载下一阶段载荷，增加了流量检测和封堵难度。建议企业对snippet.host等匿名文本托管服务的访问进行监控和限制。

📎 奇安信威胁情报 · 2026-10-02

加密payload分段嵌入免责声明资源 中

攻击者将加密的payload分段插入到软件免责声明中作为资源文件，程序加载时从免责声明中分段提取payload片段，组合后解密执行。该手法将恶意代码隐藏在合法软件的正常资源中，绕过常规静态检测。建议安全团队加强对软件资源文件的异常检测能力。

📎 奇安信威胁情报 · 2026-10-02

✅

安全建议

3条

1

紧急：针对奇安信披露的OpenClaw伪造安装包钓鱼事件，请立即排查内部是否有人从GitHub非官方渠道下载或安装了OpenClaw软件。如已安装，立即隔离主机并进行取证分析，重点关注是否存在访问snippet.host的网络连接记录。

2

重要：鉴于疑似虚拟手机服务商官网安装包遭供应链攻击，建议企业暂停从该服务商官网下载任何软件，并核查已安装的相关客户端是否存在异常外联行为。同时建议对国产Electron软件的依赖链进行安全审计，验证安装包数字签名完整性。

3

建议：针对攻击者利用snippet.host分发恶意载荷及加密payload分段嵌入免责声明的手法，建议在终端和网络层对snippet.host等匿名文本托管服务实施访问管控，并部署具备资源文件异常检测能力的安全产品，防范恶意代码隐藏在合法软件资源中。