慢雾：发现伪装成 Qwen 模型的恶意 GitHub 仓库，窃取钱包与浏览器数据

吴说获悉，慢雾安全团队披露发现一个冒充 Qwen 3.8 27B 本地量化模型的 GitHub 仓库，其标称模型大小应超过 16 GB，但实际下载内容仅约 487 KB，包含伪装文件、LuaJIT 解释器及混淆 Lua 脚本。慢雾强调，Qwen 官方项目并未遭入侵。慢雾分析称，该恶意程序运行后会收集主机数据、截取屏幕并发送至攻击者 C2；当硬编码服务器失效时，还会从 Polygon 链上合约读取备用 C2 地址，使攻击者可通过链上交易轮换基础设施。后续载荷可窃取浏览器登录信息、Cookie、历史记录、邮箱、WinSCP、Steam 凭证，以及钱包相关文件和扩展数据。慢雾还发现至少 23 个 GitHub 仓库、29 个类似压缩包使用相同 Lua 投递链。