文章总结： BYOB恶意框架潜伏近十个月，利用三阶段攻击链及七种持久化技术针对Windows、Linux和macOS系统。该框架具备键盘记录、网络嗅探、Outlook邮件窃取及挖矿功能，建议用户及时更新补丁、部署终端安全防护并定期审计系统，以防范此类高级威胁。 综合评分： 88 文章分类： 恶意软件,威胁情报,应急响应,安全运营

BYOB恶意框架潜伏十月，Windows、Linux、macOS无一幸免

看雪学苑 看雪学苑

看雪学苑

2026年1月30日 17:59 上海

近日，网络安全研究机构在主动威胁狩猎行动中，发现一个正在活跃的跨国网络攻击基础设施。该基础设施公开托管了一套名为BYOB的完整攻击框架，能够针对Windows、Linux和macOS三大主流操作系统发起攻击，窃取敏感信息并长期控制受害者电脑。目前，相关攻击活动已持续近十个月。

01

三层攻击链：从“微小探针”到“完全控制”

此次曝光的攻击行动并非使用单一病毒文件，而是采用了一套精密的三阶段“流水线”。

图：威胁研究人员捕获的攻击者服务器文件目录

第一阶段是一个仅有359字节的“微型投放器”。它虽小，却内置了多重伪装术——通过Base64编码、Zlib压缩和反序列化等技术层层包裹，有效躲避了传统杀毒软件的签名检测。它的任务很简单：安全地下载第二阶段程序。

第二阶段的“引导器”体积约为2KB，其核心任务是“勘察环境”。它会自动检查电脑是否运行在VirtualBox、VMware等虚拟环境中，这是黑客为了避免攻击在安全人员的分析沙箱里触发的常见伎俩。只有确认是真实的用户电脑后，它才会下载最终 payload。

第三阶段便是功能完整的远程访问木马，大小约123KB。至此，受害者的电脑已与黑客控制的服务器建立了加密连接，沦为“肉鸡”，等待接收更多恶意模块。

02

一次入侵，七种“备份”

为了让控制权在电脑重启后依然不失，BYOB框架为不同系统量身定制了多达七种“自启动”方法，体现了极强的适应性和顽固性。

在Windows电脑上，它会伪装成“Java-Update-Manager”，在注册表和启动文件夹里埋下种子；同时设置定时任务，每小时“复活”一次。对于Linux系统，它通过篡改系统计划任务（crontab）来实现持久化。而在macOS上，则利用LaunchAgent机制，在用户登录时悄然运行。

这种“狡兔三窟”的策略，极大地增加了普通用户彻底清理病毒的难度，即便发现并删除了其中一两种，其他隐藏的后门仍能确保黑客连接不中断。

03

键盘、网络、邮箱的全面失守

获取控制权只是开始，BYOB的真正危险在于其模块化的间谍功能。攻击者可以按需加载不同模块，对受害者进行全方位监控。

• 键盘记录器：分别针对Windows和Unix系统采用不同技术，记录每一次击键，并同步捕获当前窗口标题，从而清晰还原“用户在何时、何软件中输入了密码或银行卡号”。
• 网络嗅探器：直接抓取流经电脑网卡的数据包，分析其中的协议和内容，试图截获未加密传输的账号密码等敏感信息。
• Outlook邮件收割器（针对Windows）：这是对企业威胁最大的模块之一。它利用Windows系统的COM自动化接口，直接访问当前已登录的Outlook客户端，无需密码即可搜索、读取和窃取收件箱中的所有邮件。商业机密、财务数据、内部沟通在黑客面前一览无余。

此外，该工具还能强制结束安全软件进程，并阻止任务管理器打开，让受害者难以察觉和反抗。

04

基础设施揭秘：攻击与挖矿的“黑产复合体”

对背后服务器的分析揭示了攻击者更深的图谋。这个位于美国、由Hyonix公司托管的主服务器（IP: 38[.]255[.]43[.]60，端口8081）并非孤立存在，它与位于新加坡、巴拿马等地的节点共同组成了一个分布式网络。

值得注意的是，其中部分服务器在运行BYOB攻击框架的同时，还部署了“XMRig”门罗币挖矿程序。这形成了“远程控制+加密货币劫持”的双重盈利模式：一方面窃取信息，另一方面直接利用受害者电脑的算力“挖矿”牟利。

这种复合利用方式，以及服务器上同时开放多个非常见端口的异常配置，都强烈表明这是专业网络犯罪团伙搭建的专用攻击平台，而非临时起意或普通业务服务器。

05

安全建议

面对此类高级可持续威胁，普通用户和企业需提高警惕：

1.  保持系统与软件更新：及时安装安全补丁，关闭不必要的端口和服务。

2.  谨慎点击与下载：切勿打开来历不明的邮件附件或链接，从官方渠道下载软件。

3.  部署专业安全防护：使用具备主动防御和行为检测能力的终端安全软件。

4.  加强员工安全意识：尤其对企业员工，需培训识别钓鱼邮件，避免Outlook等客户端被恶意利用。

5. 定期检查与审计：企业应定期检查系统自启动项、计划任务及网络连接，监控异常流量。

本文资讯来源于网络安全研究机构Hunt.io发布的公开威胁情报报告

﹀

﹀

﹀

球分享

球点赞

球在看

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：看雪学苑 看雪学苑 看雪学苑《BYOB恶意框架潜伏十月，Windows、Linux、macOS无一幸免》