你的浏览器扩展正在被200+种方式盯上

你下载了一个GitHub上的开发工具，或者点了一个"验证你是人类"的按钮。三分钟后，你的加密钱包可能已经被掏空——而杀毒软件什么都没发现。

这不是假设。Point Wild安全团队今年4月24日披露的新版Vidar木马，正在用JPEG图片和TXT文档当"特洛伊木马"，把传统检测手段变成摆设。

从"偷密码的小毛贼"到"内存里的幽灵"

Vidar最早2018年露面，当时只是基于Arkei框架的凭证窃取器，功能单一，目标明确。八年过去，它完成了三级跳：2026年的版本已经采用恶意软件即服务（MaaS）模式，支持多阶段投递链，甚至把Telegram当成指挥控制中心。

关键转变在执行方式上。早期版本会在硬盘留下痕迹，新版直接把整个感染链塞进内存运行——系统重启前，你几乎找不到实体文件。

Lat61威胁情报团队的Kedar Shashikant Pandit和Prathamesh Shingare追踪了完整生命周期：从入口点到最终数据渗出，每一步都经过精心设计以规避检测。

五个让安全团队头疼的设计

1. 用Go语言写"敲门砖"

初始入侵工具是一个Go语言编译的投放器（dropper）。Go在恶意软件圈不算主流，这个选择本身就成了第一层伪装——很多传统安全工具不会重点扫描Go二进制文件。

投放器落地后，会在Windows Temp文件夹释放一个名为ewccbqtllunx.vbs的VBScript文件。文件名是随机生成的，每次感染都不重样。

2. 先侦察，再动手

VBScript的第一件事不是攻击，而是检查环境。它专门寻找沙箱特征——如果发现自己运行在虚拟化环境中，立刻退出，不留下任何可疑行为记录。

通过检测后，脚本会构建一个经过混淆的PowerShell命令，以隐藏窗口模式执行。这个设计让普通用户根本看不到异常进程在后台启动。

3. 把JPEG当成"集装箱"

PowerShell脚本连接远程服务器后，下载的不是可执行文件，而是看似无害的JPEG图片和TXT文档。这些文件里嵌入了第二阶段的恶意载荷。

研究人员发现，Vidar用了一种简单但有效的隐藏手法：把真正的恶意代码编码后塞进图片的像素数据或文本文件的特定区域。安全工具扫描JPEG时，通常只检查文件头或元数据，不会深扒每一行像素值。

这种"载体文件"策略让网络层的流量监控也失效——下载一张图片，在统计上完全正常。

4. 劫持你信任的Windows工具

载荷提取后，Vidar不会直接运行自己的代码。它调用系统自带的mshta.exe（微软HTML应用程序主机）来执行脚本，或者利用其他签名过的Windows组件。

这个设计的阴险之处在于：告警系统看到的是"微软官方程序在运行"，而不是"未知恶意软件"。白名单机制在这里成了帮凶。

5. 200+浏览器扩展的"收割清单"

最终阶段的Vidar会扫描浏览器扩展目录，目标清单超过200项。加密钱包是重点照顾对象：MetaMask、Phantom、Coinbase Wallet都在列。密码管理器也没放过——Bitwarden、LastPass、KeePass的存储文件会被优先复制。

传统凭证窃取只是基础操作。新版Vidar能识别特定扩展的数据格式，直接提取私钥和助记词，而不是盲目抓取整个配置文件回去慢慢分析。

传播渠道的"场景化精准打击"

Vidar的运营者显然研究过不同人群的心理弱点。

针对开发者：伪造GitHub仓库，包装成热门开发工具或"泄露版"商业软件。技术人群对GitHub有天然信任，下载前很少做完整性校验。

针对普通网民：入侵WordPress网站植入恶意代码，或者搭建假的CAPTCHA页面。用户为了"证明自己不是机器人"，会按照页面提示复制粘贴PowerShell命令到系统运行——这个叫ClickFix的攻击手法，去年开始大规模流行。

针对游戏玩家：在GitHub、Discord、Reddit分发假外挂工具。玩家群体对安全警告的容忍度极低，为了游戏优势愿意关闭杀毒软件、以管理员权限运行未知程序。

每个渠道都利用了一个共同心理：目标人群在特定场景下会主动绕过安全机制。

为什么这次升级特别麻烦

多阶段投递不是新技术，但Vidar的组合拳有几个让防御方难受的特点：

文件类型降级攻击——把恶意载荷从.exe降级到.jpg和.txt，绕过基于文件类型的检测规则。

内存驻留优先——减少磁盘写入，让取证分析缺少实体证据。

合法工具滥用——mshta.exe、PowerShell都是系统组件，封锁会影响正常业务，安全团队不敢一刀切。

社交工程深度定制——不同人群看到不同的诱饵，通用防护策略很难覆盖所有变体。

Point Wild团队在报告中提到，这个变种的检测难度"显著高于传统Vidar样本"。他们的原话是：依赖混淆脚本、可信Windows工具、非可执行文件格式的分阶段投递，构成了多层规避体系。

一个值得关注的趋势信号

Vidar的演进轨迹，其实是信息窃取类恶意软件的缩影。从单一功能到MaaS平台，从直接投放到内存化、无文件化，攻击者的目标一直没变：在被发现之前，尽可能长时间地留在系统里。

JPEG和TXT作为载荷载体的选择尤其值得注意。这说明攻击者在主动寻找"检测盲区"——那些安全工具扫描力度弱、但系统又必须允许通行的文件类型。图片和文本文档，几乎是任何网络环境都不会拦截的基础格式。

对于依赖浏览器扩展管理数字资产的人群，这个威胁模型直接挑战了现有的安全假设。钱包扩展的设计初衷是隔离私钥，但如果恶意软件能在扩展运行时就读取内存中的密钥，隔离机制就被绕过了。

Point Wild的发现发布于4月24日。考虑到Vidar的MaaS属性，这些技术细节很可能已经被其他攻击者吸收、改造、重新打包出售。防御规则的更新速度，能否跟上变异速度，是接下来几个月的关键变量。