伪装学习项目的恶意代码库暴露窃密链条

10月23日，慢雾威胁情报团队监测到名为sol-live的GitHub仓库存在严重安全漏洞，该仓库以Solidity编程练习为名诱导开发者下载，实则在.vscode/settings.json文件中嵌入隐蔽指令，一旦用户启用自定义终端配置即可能触发恶意行为。

跨平台攻击链激活需用户主动配合

经分析，该恶意载荷具备采集浏览器登录凭据、加密钱包扩展存储内容以及读取macOS Keychain敏感信息的能力，同时支持扫描并上传本地文件、执行任意远程指令，并提供交互式Shell访问接口，甚至可实时监控剪贴板内容，实现账户信息自动捕获。

多类项目共用同源攻击手法，风险持续扩散

慢雾进一步排查发现，另有8个与之结构相似的GitHub项目采用相同隐蔽机制，目前尚无法确认实际感染范围或是否存在数据外泄情况。其中Windows平台因引号处理逻辑缺陷，攻击链是否完整仍待验证。

防范建议：审查配置文件并立即处置风险设备

安全机构提醒开发者，在运行未经验证的开源项目前，务必核查.vscode/settings.json中的终端启动参数，若已执行相关操作，应立即将设备隔离并进行全面排查。建议在可信环境中重新部署开发环境，并将数字资产转移至新生成的钱包地址，同步更新所有关键账户密码。