Netskope 威胁实验室披露了一个代号 Underground 的加密货币窃取行动：木马化安装包把窃密程序注入 Windows 主机的 dllhost.exe，再用受害者的浏览器配置文件启动 Chrome 或 Edge，直接在已登录的交易所会话里动手，盗空资金并改写提现确认邮件。目前可追踪的链上收益约 10 万美元，至少涉及 350 至 430 名受害者。
事件概述
研究者以加载器写入的日志目录 C:\ProgramData\Underground\ 命名该行动，其遥测记录可追溯至 2023 年 10 月。感染起点是未加密的 7z 或 zip 诱饵压缩包，内含 setup.exe、被木马化的 msys-crypto-3.dll 与加密的 data.bin，其投放方式尚未查明。
技术细节
运行 setup 后，Underground 加载器启动，先做反分析检查：内置 67 个进程名黑名单并逐一比对，覆盖 IDA、x64dbg、Frida、Wireshark、Burp Suite 等调试、插桩与抓包工具，以及 VMware、VirtualBox、QEMU 等虚拟机代理。
通过检查后，加载器用每构建独立的 AES 密钥解密载荷，按节区注入挂起的 dllhost.exe。被注入进程以受害者的浏览器配置文件启动 Chrome 或 Edge 子进程，浏览器打开时已处于登录状态，窃密脚本随即注入页面。结果是网关流量来自 chrome.exe 或 msedge.exe，且窃密阶段从不落盘为独立文件，传统文件检测难以奏效。
载荷属于 Vidar 类窃密程序，能力覆盖 Chromium 与 Gecko 的 cookie 与密码、Discord 与 Telegram 数据、桌面与浏览器扩展钱包、截图，但 C2 不用 Vidar 的经典配置方式，改用自定义的 /api/machine/* 协议联系硬编码网关。每台机器以唯一 UUID 通过 /api/machine/commands 通信，网关前置 Cloudflare、后接 nginx/FastCGI 源站，根路径返回 404，仅在 /api/machine/* 提供内容，研究者共映射到 7 个轮换域名。
/api/machine/injections 返回约 9MB 的 JSON 配置，含浏览器注入脚本、剪贴板劫持规则与文件查找逻辑。针对 Binance 会话，脚本会用约 25 种语言的仿冒安全验证浮层遮盖页面，背后关闭提现白名单、把资产先换成 USDC 再换成 BTC，转入由 11 个地址组成的比特币储备池。同时它监控 Gmail、Outlook、Yahoo、Proton 等 webmail 的提现确认邮件，并在浏览器内改写主题与正文（约 24 种语言）使其看起来正常。剪贴板劫持含 32 条规则，覆盖约两打币种与 80 多个目的地址。
影响评估
单笔盗取金额差异明显：多数平均约 82 美元，最高一笔达 18,800 美元。由于交易所钱包转账无法逐笔归类，真实受害者数量应高于统计值。截至 2026 年 9 月，相关钱包仍在收款。
修复建议
- 把“网关被拦截”视为已感染信号：主机可能持续轮询被封网关数月等待新域名上线；
- 排查 dllhost.exe 注入行为、由 dllhost.exe 启动的浏览器进程，以及 C:\ProgramData\Underground\ 的创建与删除痕迹；
- 对
/api/machine/*做行为层 URI 检测，域名信誉拦截跟不上轮换速度； - 交易所提现必须通过独立渠道二次核实，因为确认邮件可能在浏览器内被篡改。