index_new5.html
../../../zaker_core/zaker_tpl_static/wap/tpl_guoji1.html
![]()
微软威胁情报团队披露，名为 PipeMagic 的复杂模块化后门正被黑客利用，伪装成开源 ChatGPT 桌面应用程序，借助零日漏洞实施针对性攻击。该后门与 CVE-2025-29824 漏洞相关，主要在 IT、金融及房地产等行业活动，可进行持久化与远程控制，并可能配合勒索软件。PipeMagic 架构高度模块化，通信方式隐蔽，增加了检测难度。
🔍 PipeMagic 是一种复杂的模块化后门，被黑客用来伪装成开源 ChatGPT 桌面应用程序，利用零日漏洞 CVE-2025-29824 进行针对性攻击，主要针对 IT、金融和房地产等行业。
🛡️ 该后门的主要功能是进行持久化与远程控制，并可能配合勒索软件进行攻击。微软威胁情报团队对其进行了全面分析，并发布了相关报告，旨在提高公众对该威胁的认识。
🔧 PipeMagic 采用高度模块化的架构，通过双向链表结构管理任务，包括 Payload 链表、Execute 链表、Network 链表和未知链表，增加了检测与分析难度。
📡 其通信方式隐蔽，利用命名管道将模块传入内存，并经过 RC4 解密和 SHA-1 校验后再运行。同时，C2 通信则交由专用网络模块完成，采用加密的 TCP/WebSocket 通道。
🔐 一旦激活，PipeMagic 就能为攻击者提供对系统的全面操控能力，包括添加、删除或修改有效负载模块；在内存中直接执行恶意代码；收集系统与域环境信息；枚举运行进程并执行侦察；自删除机制。
2025-08-20 12:31 四川
微软威胁情报团队近日披露，一种名为 PipeMagic 的复杂模块化后门正被黑客利用，并伪装成开源 ChatGPT 桌面应用程序，借助零日漏洞实施针对性攻击。
01
零日漏洞与后门联动直击多行业目标微软调查显示，PipeMagic 与 CVE-2025-29824（Windows 公共日志文件系统 CLFS 提权漏洞）相关联。威胁行为者 Storm-2460 借助该零日漏洞，在 IT、金融及房地产等行业发起攻击，攻击范围覆盖美国、欧洲、南美洲与中东。微软指出，虽然此次攻击规模有限，但零日漏洞与强大后门工具的结合，使其风险格外突出。PipeMagic 在攻击链中主要承担持久化与远程控制的角色，并可进一步配合勒索软件的投递。攻击的初始阶段利用了一个被篡改的 ChatGPT 桌面应用 GitHub 项目。微软分析称：“PipeMagic 的执行链条始于一个伪装成 ChatGPT 桌面应用的恶意内存投递器。该版本被注入了恶意代码，可解密并在内存中释放隐藏的有效负载。”在加载后，有效负载会激活 PipeMagic 框架，建立持久化通道，并尝试通过 CLFS 漏洞实现提权。
02
模块化架构与加密通信隐蔽性极高PipeMagic 的架构高度模块化，依靠双向链表结构管理任务，微软发现其至少包含四类链表：
Payload 链表：存放待部署模块。Execute 链表：存放已加载并准备运行的模块。Network 链表：负责命令与控制（C2）通信。未知链表：疑似作为动态加载模块的暂存区。
通过拆分任务并动态加载模块，PipeMagic 不仅提升了灵活性，还增加了检测与分析难度。其通信方式同样精心设计：利用命名管道将模块传入内存，先经 RC4 解密 与 SHA-1 校验后再运行。同时，C2 通信则交由专用网络模块完成，采用加密的 TCP/WebSocket 通道。微软强调：“PipeMagic 通过模块化架构维持稳健的 C2 通信，隐蔽性和可扩展性极高。”
03
全面控制系统勒索软件随时待命一旦激活，PipeMagic 就能为攻击者提供对系统的全面操控能力，包括：
添加、删除或修改有效负载模块；在内存中直接执行恶意代码；收集系统与域环境信息；枚举运行进程并执行侦察；自删除机制（其中一段代码甚至将文件名改为 “:fuckit” 后再标记删除）。其伪装身份加大了诱骗受害者的可能性，而动态加载与加密通信则进一步提升了检测难度。微软在报告最后强调，揭露 PipeMagic 的运行机制，不仅是出于情报共享，也旨在打击攻击者工具链，增加对手操作成本，让其难以维系长期攻击行动。
消息来源：SecurityOnline推荐阅读
01
｜Tycoon2FA多阶段钓鱼|
02
｜GitHub突发宕机|
03
｜Win11新补丁翻车|
安全KER
安全KER致力于搭建国内安全人才学习、工具、淘金、资讯一体化开放平台，推动数字安全社区文化的普及推广与人才生态的链接融合。目前，安全KER已整合全国数千位白帽资源，联合南京、北京、广州、深圳、长沙、上海、郑州等十余座城市，与ISC、XCon、看雪SDC、Hacking Group等数个中大型品牌达成合作。
注册安全KER社区链接最新“圈子”动态
阅读原文
跳转微信打开
