揭秘GitHub上的Java恶意软件：1500多名Minecraft玩家被感染的背后真相

近年来，电子游戏，尤其是Minecraft，作为全球最受欢迎的沙盒游戏，吸引了庞大的玩家群体。众多玩家喜欢通过下载第三方模组来丰富游戏体验，但也正是这种依赖，使得他们面临安全风险。2025年，一场针对Minecraft用户的恶意软件攻击引发网络安全领域的高度关注。据Check Point安全研究人员Jaromír Hořejší和Antonis Terefos披露，一种基于Java的多阶段恶意软件通过GitHub上的模组仓库向玩家传播，至今已有超过1500名玩家受害。这次攻击不仅反映了网络犯罪分子的狡猾与技术手段，更凸显了用户在数字娱乐领域面临的安全挑战。此次攻击的核心是一个名为Stargazers Ghost Network的非法分发服务，该网络利用成千上万个GitHub账户创建带有恶意代码的仓库，冒充破解软件和游戏作弊工具。

攻击者通过伪装成被广泛信任的Minecraft模组——Oringo和Taunahi，诱使玩家下载恶意Java归档文件（JAR）。这些模组在Minecraft运行环境中才能被执行，并利用简单的反虚拟机和反分析技术避开主流杀毒软件的检测。攻击链由两个Java阶段组成，首先是通过恶意Java加载器运行，随后下载并执行嵌入在Base64编码的Pastebin代码中的第二阶段负载——一个.NET信息窃取程序。该程序能够悄无声息地窃取玩家的Discord、Minecraft以及Telegram令牌，甚至盗取浏览器中的密码、FTP和邮件客户端信息、加密货币钱包数据以及Steam和FileZilla等应用信息。其还具备抓取屏幕截图、记录运行进程、获取外部IP地址与剪贴板内容的能力。所有收集到的数据均通过Discord webhook传回攻击者。

攻击者的作案手法透露出浓重的语言及地域特征，他们使用俄语编写部分代码，并且GitHub提交时间显示UTC+03:00时区，这表明这起攻击很可能源自俄罗斯地区或讲俄语的黑客团体。整个攻击活动首次被发现于2025年3月，整个生态系统庞大而复杂，包括大约500个恶意仓库和约70个恶意GitHub账号，共获得了700颗“星标”。通过利用玩家对正版模组的信任感，配合GitHub这个主流开源平台的广泛影响力，攻击者成功将恶意软件伪装成看似无害且深受欢迎的游戏增强工具，从而大幅提升了感染率与攻击隐蔽性。此事件也暴露了开源平台在审查安全方面的某些薄弱环节，GitHub作为全球最大的代码托管平台，尽管采取多重检测机制，仍然难以彻底防范恶意代码上传并传播。与此同时，由于Java恶意代码只在安装了Minecraft运行环境的机器上执行，这种定向攻击方式极大提高了攻击效率和隐蔽性。此外，攻击依赖用户将恶意JAR文件手动拷贝至Minecraft模组文件夹中，反映出社会工程学的深层影响。

玩家为了提升游戏体验，轻信第三方资源，导致自身系统安全受损。该事件警醒广大玩家，在下载和安装第三方模组时务必保持高度警惕，优先选择官方渠道和信誉良好的资源，避免轻易尝试未经验证的破解或作弊工具。为保护系统安全，应及时更新杀毒软件、开启防火墙以及利用沙盒环境检测疑似程序，避免恶意程序得逞。除了Minecraft感染事件外，相关研究还提到了KimJongRAT信息窃取工具的进化。Palo Alto Networks的Unit 42安全团队披露了KimJongRAT的两个新变种：一个基于PE文件，另一个通过PowerShell实现，并通过Windows快捷方式触发。这些变种同样侧重于窃取浏览器数据、加密钱包信息、FTP与邮件账户详情，反映出网络攻击技术的持续升级和分布式多样化。

整个恶意软件生态的复杂性和多阶攻击模式，充分体现了现代网络安全威胁的严峻形势。对于普通用户而言，游戏除了提供娱乐，更是潜在的安全隐患载体。这要求安全从业人员持续加强监测与响应能力，并教育用户养成良好的安全意识。总之，这场针对Minecraft玩家的Java恶意软件攻击揭示了网络犯罪者如何利用知名游戏平台作为攻击载体，借助开源平台的声誉和用户的信任实现高效传播。随着游戏生态不断繁荣，与之相关的安全挑战也将愈发复杂多样。面对日益精密的网络攻击，玩家应积极提升个人安全素养，优先选择官方渠道获取内容，同时企业和平台需要加大技术投入，完善审查机制，为广大用户营造一个安全、健康的数字娱乐环境。

网络安全是所有人共同的责任，只有各方紧密合作，方能化解恶意威胁，保障每一位玩家的数字财产和信息安全。