近日，工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)（CSTIS）監(jiān)測(cè)發(fā)現(xiàn)SleepyDuck惡意軟件持續(xù)活躍，其主要攻擊目標(biāo)為使用Cursor和Windsurf等代碼編輯器的開發(fā)者，可能導(dǎo)致數(shù)據(jù)泄露、系統(tǒng)受控、業(yè)務(wù)中斷等風(fēng)險(xiǎn)。

SleepyDuck是一種極具威脅性的復(fù)雜遠(yuǎn)程訪問木馬（RAT），于2025年10月31日以“juan-bianco.solidity-vlang”名稱首次在OpenVSX市場發(fā)布，11月1日更新至0.0.8版本并植入惡意功能。該惡意軟件通過名稱搶注技術(shù)（攻擊者搶先注冊(cè)與合法軟件、品牌等高度相似名稱，偽裝成可信來源誘騙用戶下載惡意軟件的手段）偽裝成合法Solidity工具，當(dāng)用戶打開新代碼編輯器窗口或選擇.sol文件時(shí)該惡意軟件被激活。

激活后，它首先收集主機(jī)名、用戶名、MAC地址、時(shí)區(qū)等機(jī)器信息，并通過創(chuàng)建鎖定文件確保單次執(zhí)行、調(diào)用偽裝函數(shù)初始化惡意載荷、使用沙箱環(huán)境執(zhí)行命令等技術(shù)規(guī)避檢測(cè)。隨后，該惡意軟件連接主命令與控制（C2）服務(wù)器sleepyduck[.]xyz，以30秒輪詢間隔接收指令，可遠(yuǎn)程完全控制受感染的Windows系統(tǒng)、竊取敏感數(shù)據(jù)、執(zhí)行惡意命令。SleepyDuck核心特點(diǎn)是利用以太坊區(qū)塊鏈合約實(shí)現(xiàn)高級(jí)持久化——將備用配置數(shù)據(jù)存儲(chǔ)在以太坊合約地址0xDAfb81732db454DA238e9cFC9A9Fe5fb8e34c465。

當(dāng)主C2服務(wù)器失效時(shí)，SleepyDuck會(huì)查詢?cè)摬豢纱鄹牡膮^(qū)塊鏈合約，獲取更新后的服務(wù)器地址、輪詢間隔甚至緊急命令。此外，它采用去中心化的基礎(chǔ)設(shè)施，即便主域名被查封也能維持運(yùn)營，大幅提升了安全監(jiān)測(cè)分析的難度。

網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)建議相關(guān)單位和用戶立即組織排查，更新防病毒軟件，實(shí)施全盤病毒查殺，卸載相關(guān)惡意擴(kuò)展，僅從官方市場下載開發(fā)工具，并嚴(yán)格驗(yàn)證開發(fā)者身份，加強(qiáng)網(wǎng)絡(luò)監(jiān)控，阻斷與sleepyduck[.]xyz及特定以太坊合約地址的非法交互，并可通過定期備份數(shù)據(jù)等措施，防范網(wǎng)絡(luò)攻擊風(fēng)險(xiǎn)。

參考及來源：網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)