私钥被盗，扫到一个病毒，求大家帮忙看一下

[milkpuff]

周末钱包私钥被盗，损失惨重。私钥明文存在本地文本中，两台机器 linux/win10 中都有。其中 linux ssh 日志没有发现异常登录，win10 日志有点乱，似乎也没有被登录过。
win10 windows defender 没有扫到病毒，今天装了个火绒扫到一个程序报毒，名字是 FnHotkeyUtility.exe 。请求大家帮忙分析一下，文件是否就是通过这个程序泄露出去的。



病毒文件
链接: https://pan.baidu.com/s/18yAc_YyufZIuqXsFBImq_A?pwd=2jj7 提取码: 2jj7

分析平台结果
https://www.virustotal.com/gui/file/7acdae6297c8a70915eae326aaeb202b7fd7cab4436dbf65d17df682e5058098/detection

损失大几千 U ，对方还登录 hyperliquid 交易所把我的仓位平仓、出金、转走。
教训就是不要存明文，二次加密后存文本没得问题。
现在想知道是不是从这里泄露出去的，如果不是的话，说明还有漏洞，那就更危险了。

感谢 #15 楼老哥 @qq316107934 一波专业的分析👍

[obeykarma]

FnHotkeyUtility.exe
是不是 lenovo 的笔记本，自带的 fn 按键实用工具？

玩币圈推荐 mac ，要不就是冷钱包

[usn]

同推荐 mac+冷钱包

[gegeligegeligo]

损失多少

[cc9910]

一般没放服务器的话,大部分都是周围人盗的

[allplay]

[一次愚蠢的代价，一堂昂贵的教训；一出离奇的大戏，一场未竟的追寻] 2022 年被盗 3000 万美元的复盘 @KuanSun1990
https://v2ex.com/t/1157933#reply10

真正的原因：输入法与数据库泄漏？

骗子的戏码告一段落后，我才逐渐冷静下来，重新去复盘整个事件的根源。为什么会同时有两把时间相隔 3 年生成的私钥泄漏？

经过多次复盘，目前最可能的路径是 —— 输入法与粘贴板泄漏。

我当时的操作习惯非常不安全：
• 私钥曾经在安卓手机和 Windows 电脑上输入、粘贴过（即使是断网）；
• 手机上装过各种破解软件，还用过第三方输入法（讯飞语音输入法）；
• 私钥甚至在微信里直接传过。

这些当年看似“无伤大雅”的行为，其实给攻击者留下了致命的入口。

Tron 事件中的当事人说是“billions pieces concated”（数十亿条拼接的数据），只花了 0.5 BTC 。这类数据库里混杂着海量剪贴板、输入法上传的数据，而我的私钥正好在其中。

这才解释了为什么两个生成时间完全不同的钱包会在同一次泄漏中一起暴露：
• 共同点是它们都曾在同一环境、同一输入法中出现过；
• 一旦输入法数据被打包流出，私钥就等于明码裸奔。

[ysc3839]

@obeykarma 不能只看文件名，在 ProgramData 里面明显有问题

[villivateur]

你是说助记词被盗了吗？这东西应该手抄在纸上吧？

[Pichai]

去 x 找余烬。

[buydip]

损失多少

[Tiger511]

@allplay 助记词？私钥我都要用 rdrand 指令直接算，私钥随便文档形式，二进制层面写个程序乱序或者抽数扩数，一分二分三，算法可以很简单，脑子简单记住一个 2 位数字就可以扩展还原回来，或者简单些个 py 脚本，文档随便放，算到太阳系能量枯萎都算不出来

[xiyuesaves]

路径看起来有点奇怪，和联想自带的驱动目录对不上

[qq316107934]

这是 Remcos 远控，有很多能力的，有可能已经下载运行了很多衍生物，建议重装系统。

[allplay]

联想的文件不会放到 uuid 的路径下面

[allplay]

Windows 10 ，呵呵，微软都已经停止更新了。defender 估计也没有云查杀能力，不提供服务了。
微软不替你背锅哈

[qq316107934]

帮你看了下具体行为，有偷取 Chrome(\AppData\Local\Google\Chrome\User Data\Default\Cookies 、\AppData\Local\Google\Chrome\User Data\Default\Login Data 获取 cookies.sqlite)、Firefox （从\AppData\Roaming\Mozilla\Firefox\Profiles\ 获取 key3.db ，IE ）获取 Cookies 的行为，你的账号都要小心了。
同时有 Keylogger ，会记录你的键盘输入。
通过修改注册表绕过 UAC （ HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA 0 ）
有远程文件下载和执行能力，以及远程命令执行能力。
有操控剪切版的能力。
文件固定释放写入：C:\ProgramData\03057f44-7eaf-424e-a534-790913b4a870\FnHotkeyUtility.exe

[qq316107934]

@allplay Windows 10 虽已在 10 月 14 日终止支持，但微软确认其内置的 Microsoft Defender 将继续提供服务，持续更新反病毒和威胁检测功能，帮助用户抵御恶意软件及其他网络威胁： https://www.ithome.com/0/889/560.htm

[ayamatsuura]

@qq316107934 这是用沙盒看的吗？

[qq316107934]

@ayamatsuura #17 本身有虚拟机和时区检测，沙盒试了下貌似过不了，看的静态反编译。

[ayamatsuura]

@qq316107934 看的真快啊，还以为有啥好工具可以帮助分析呢，老哥牛皮

[codehz]

有病毒就直接重装吧，谁知道这是不是刚好唯一被发现的呢

[penzi]

iPad 是世界上最安全的电脑

[Hyschtaxjh]

黑暗森林
永不觸網才是真的

[milkpuff]

@qq316107934 牛啊老哥，太专业了👍👍👍

[icanfork]

1password ，和 V 友 做云亲属好多年了，提供了很大的安全保障

[sublimevsatom]

Linux 和 Win 上是一样的文本吗？这种东西最好是断网。

[streamrx]

炒币就不要用 Windows 和安卓， 不要安装任何第三方的输入法

[Gilfoyle26]

后悔是没用的，硬件钱包才是王道

[usn]

看完 15 楼的分析，只想问，op 更改其它账号的密码了吗？

[milkpuff]

@usn 紧急修改了一些重要的

[usn]

@milkpuff 用了密码管理器以后遇到这类事情修改起来会更方便些，当然，定期修改也会变得简单多

[cxxlxx]

https://www.virustotal.com/gui/file/a6bd3c9294f6d536bc926d01697596f57162e5a48031b729b5974fe570c0ffd9?nocache=1

[cxxlxx]

回复错了

[wonderfulcxm]

@allplay 现在一想剪贴板管理那些工具好危险啊

[Stop]

怎么敢剪切的，我从来都是手动输入，即使这样，我都还不放心是否有屏幕录制软件，会排查一遍。

[l0g1]

私钥和助记词不应该记到纸上吗？怎么敢存在电脑里的

[qiaobeier]

你这是被盯上了吧？会不会是熟人作案？

[Valid]

@obeykarma 不会用 mac 不是一样的，有些软件一样管理员权限要密码安装，和电脑真没一点关系

[Valid]

私钥的来源是哪里？

[Valid]

我之前被盗过几次原因都是私钥来源，1 是我随机字符串生成的 sha256 做私钥作为钱包，2 是让 ai 给我生成 sha256 ，只是作为临时钱包没想到都被监控了。玩的太花了

[sead]

黑产的最喜欢 win ，有些牛逼的开发者有能力写远控的，而且当时的杀软基本都能过。。 不过我知道的都是多年前了，那开发者是特殊单位的，没有事就是编内，有事就是编外。