老牌木马玩起文件伪装，杀毒软件为何总慢半拍

你刚下载了一张看起来正常的风景图，或者一个不起眼的文本文档——杀毒软件没报警，文件属性也没问题。但几小时后，你的浏览器密码、加密货币钱包、甚至公司内网凭证，已经躺在攻击者的服务器里了。

这不是假设。Point Wild安全团队今年4月24日披露的细节显示，活跃了8年的信息窃取木马Vidar，正在用JPEG图片和TXT文档当"特洛伊木马"，把第二阶段的攻击代码藏进这些看似无害的文件里。

一个老牌木马的"服务升级"

Vidar最早出现在2018年，当时只是基于Arkei框架的基础凭证窃取工具。8年过去，它完成了一次完整的商业模式转型：从单一功能的小偷，变成按订阅制收费的"恶意软件即服务"（MaaS）平台。

2026年的版本已经支持多阶段投递链，用Telegram等社交平台做指挥控制通道。更关键的是，它现在把整个感染链塞进内存里执行——感染完成后，硬盘上几乎留不下痕迹。

Point Wild的Lat61威胁情报团队研究员Kedar Shashikant Pandit和Prathamesh Shingare完整还原了这次攻击的全流程。他们的分析指向一个核心变化：Vidar现在极度依赖混淆脚本、Windows自带工具，以及非可执行文件格式的分阶段投递，来绕过安全检测。

攻击入口：开发者、玩家、普通用户通吃

这次发现的传播手段覆盖面相当广，几乎不把任何群体排除在外。

第一类目标是开发者。攻击者搭建伪造的GitHub仓库，伪装成开发工具或"泄露版"软件。程序员习惯从GitHub拉代码，对这类来源警惕性天然较低。

第二类是网站运营者和普通浏览者。被入侵的WordPress站点，加上伪造的CAPTCHA验证页（ClickFix页面），诱导用户复制粘贴Windows命令——这一步直接触发感染链。

第三类是游戏玩家。伪造的游戏作弊工具仓库被分享到GitHub、Discord、Reddit等平台。玩家为了获得游戏内优势，往往会主动关闭安全警告，成为最易得手的目标群体。

三种入口，三种心理弱点：专业身份带来的信任惯性、日常操作带来的注意力松懈、以及利益诱惑下的主动冒险。

技术拆解：一张JPEG图如何变成攻击武器

感染的第一步是个用Go语言编译的投递器（dropper）。选Go语言本身就有讲究——它传统上不是恶意软件的常用语言，能躲过很多基于特征码的检测工具。

投递器运行后，往Windows Temp文件夹里放一个名为ewccbqtllunx.vbs的VBScript文件。

这个脚本先做环境检查：如果发现自己跑在沙箱里，直接退出。这是对抗安全研究人员动态分析的常见手法。通过检测后，它构建一个混淆的PowerShell命令，以隐藏窗口模式执行。

PowerShell脚本接着连接远程服务器，下载真正的攻击载荷。这里的关键设计是：载荷被拆分成两部分，分别藏在JPEG图片和TXT文档里。

JPEG文件用隐写术（steganography）技术，把恶意代码嵌入图片的像素数据或元数据区域。TXT文档则通过字符编码 tricks，把可执行代码伪装成普通文本内容。两种格式都是日常办公场景中最常见的文件类型，安全工具对它们的扫描深度通常低于可执行文件。

下载完成后，脚本把两部分内容重组还原，在内存中执行第二阶段的攻击代码。整个过程不落地传统意义上的"病毒文件"，杀毒软件的文件监控层很难察觉。

偷什么：200多个浏览器扩展，从钱包到密码库

一旦第二阶段代码运行，Vidar开始系统性地收割数据。它的目标清单包括超过200个浏览器扩展，其中加密货币钱包是重点：MetaMask、Phantom、Coinbase Wallet都在列。

密码管理器同样被盯上——Bitwarden、LastPass、KeePass这类工具本应是安全最后的防线，反而成了高价值目标。攻破一个密码管理器，等于拿到用户所有账户的 master key。

这远超"偷几个网站密码"的范畴。个人用户面临直接的财产损失，企业用户则可能遭遇内网凭证泄露、横向移动、最终演变成勒索软件攻击的完整链条。

为什么这种手法特别讨厌

Vidar这次的技术选择，精准打击了现有安全体系的几个盲区。

第一，文件类型偏见。JPEG和TXT属于"低风险"文件类别，很多企业安全策略对它们的审查力度天然低于.exe或.dll。攻击者利用这种信任落差，把高危险内容包装成低敏感容器。

第二，内存执行趋势。整个攻击链在RAM里完成，不写入硬盘。传统EDR（端点检测与响应）工具依赖文件系统监控，对这种"无文件攻击"的可见性有限。

第三，合法工具滥用。PowerShell、VBScript、Windows Temp文件夹——全是操作系统原生组件。攻击者不需要携带任何"外来"恶意代码，降低了被特征检测发现的概率。

第四，社交工程与技术的混合。伪造GitHub仓库、ClickFix页面、游戏作弊工具——每个入口都针对特定人群的行为习惯设计，技术防护再严密，也难防用户主动执行。

MaaS模式：让普通人也能发动专业攻击

Vidar的商业模式转型值得单独拎出来看。MaaS（恶意软件即服务）意味着攻击者不需要自己写代码，按月付费就能获得持续更新的攻击工具包，包括：

• 持续维护的投递基础设施

• 逃避检测的技术更新

• 甚至客户支持和技术文档

这种"专业化分工"降低了网络犯罪的门槛。一个人不需要懂逆向工程、不需要维护服务器、不需要研究最新的AV绕过技术——只要愿意付钱，就能发动企业级的信息窃取攻击。

Vidar的运营方从中获得稳定现金流，有动力持续投入研发，形成"产品迭代-更多客户-更多收入-更快迭代"的循环。2026年的JPEG/TXT隐藏技术，就是这种持续投入的最新产出。

防御方的困境：检测与体验的永恒张力

面对这种攻击，安全团队面临一个结构性难题：查得严，用户体验崩；查得松，漏报率飙升。

深度扫描每一个JPEG文件的像素层、解析每一个TXT文件的编码异常，在计算资源和时间成本上都不现实。企业网络每天流转的文件以百万计，全量深度分析会让正常业务陷入瘫痪。

行为检测是另一个方向——不看你是什么文件，看你做了什么。但Vidar的内存执行和合法工具滥用，让行为信号的噪声极大增加。PowerShell本来就被系统管理员大量使用，如何区分正常脚本和恶意脚本，至今没有完美方案。

沙箱分析能解决问题，但Vidar的初始脚本自带沙箱检测，发现异常环境直接终止。攻防双方在这个层面已经博弈多年，没有哪一方能建立持久优势。

用户侧能做的其实不多，但有用

技术层面的对抗主要由安全厂商和企业IT团队承担，普通用户并非完全无能为力。

对开发者：警惕"过于完美"的GitHub仓库。新注册账号、Star数异常、Issue区空白、README语法错误——这些信号往往比杀毒软件更早预警。

对普通用户：任何要求你复制粘贴命令到终端的网页，无论包装成CAPTCHA验证、系统修复工具还是其他形式，默认视为可疑。

对玩家：游戏作弊工具是恶意软件的经典载体，这个认知需要更新到2026年版本——现在的攻击者会针对特定游戏社区定制诱饵，Discord和Reddit上的"热心分享"同样需要交叉验证。

对企业：密码管理器的master password应该与任何在线账户隔离，启用硬件安全密钥或至少独立的第二因素认证。浏览器扩展的权限管理需要定期审计，特别是加密货币相关扩展。

这件事的讨厌之处，在于它揭示了一个趋势

Vidar的JPEG/TXT隐藏技术不是孤立创新。近几年，用隐写术投递恶意代码、把攻击链拆分到多个"无害"文件、滥用操作系统原生工具——这些手法在多个恶意软件家族中反复出现。

背后的驱动力很清晰：传统安全工具基于"已知坏"的检测模式，在特征库更新速度上永远追不上攻击者的变种速度。Vidar选择2026年升级这套技术栈，说明这种"文件伪装+内存执行+合法工具滥用"的组合，在当前防御体系下仍然具有足够的性价比。

更深层的问题在于，这种攻击的"成本结构"对防御方极不公平。攻击者只需要找到一个未被覆盖的文件解析盲区，防御方却需要保护整个攻击面的每一个角落。JPEG和TXT只是当前的选择，PNG、PDF、MP4、甚至SVG矢量图——任何被广泛信任的文件格式，都可能成为下一个载体。

Point Wild的研究员在报告中没有给出乐观的结论，这本身就很说明问题。当8年老牌木马开始用图片和文本文档当武器，我们或许需要重新评估：那些"肯定不会出问题"的日常操作，到底有多少是建立在过时的安全假设之上。