北京
近日，工業(yè)和信息化部網絡安全威脅和漏洞信息共享平臺（CSTIS）監(jiān)測發(fā)現(xiàn)SleepyDuck惡意軟件持續(xù)活躍，其主要攻擊目標為使用Cursor和Windsurf等代碼編輯器的開發(fā)者，可能導致數據泄露、系統(tǒng)受控、業(yè)務中斷等風險。
SleepyDuck是一種極具威脅性的復雜遠程訪問木馬（RAT），于2025年10月31日以“juan-bianco.solidity-vlang”名稱首次在OpenVSX市場發(fā)布，11月1日更新至0.0.8版本并植入惡意功能。該惡意軟件通過名稱搶注技術（攻擊者搶先注冊與合法軟件、品牌等高度相似名稱，偽裝成可信來源誘騙用戶下載惡意軟件的手段）偽裝成合法Solidity工具，當用戶打開新代碼編輯器窗口或選擇.sol文件時該惡意軟件被激活。
激活后，它首先收集主機名、用戶名、MAC地址、時區(qū)等機器信息，并通過創(chuàng)建鎖定文件確保單次執(zhí)行、調用偽裝函數初始化惡意載荷、使用沙箱環(huán)境執(zhí)行命令等技術規(guī)避檢測。隨后，該惡意軟件連接主命令與控制（C2）服務器sleepyduck[.]xyz，以30秒輪詢間隔接收指令，可遠程完全控制受感染的Windows系統(tǒng)、竊取敏感數據、執(zhí)行惡意命令。SleepyDuck核心特點是利用以太坊區(qū)塊鏈合約實現(xiàn)高級持久化——將備用配置數據存儲在以太坊合約地址0xDAfb81732db454DA238e9cFC9A9Fe5fb8e34c465。
當主C2服務器失效時，SleepyDuck會查詢該不可篡改的區(qū)塊鏈合約，獲取更新后的服務器地址、輪詢間隔甚至緊急命令。此外，它采用去中心化的基礎設施，即便主域名被查封也能維持運營，大幅提升了安全監(jiān)測分析的難度。
網絡安全威脅和漏洞信息共享平臺建議相關單位和用戶立即組織排查，更新防病毒軟件，實施全盤病毒查殺，卸載相關惡意擴展，僅從官方市場下載開發(fā)工具，并嚴格驗證開發(fā)者身份，加強網絡監(jiān)控，阻斷與sleepyduck[.]xyz及特定以太坊合約地址的非法交互，并可通過定期備份數據等措施，防范網絡攻擊風險。
參考及來源：網絡安全威脅和漏洞信息共享平臺
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
