Cursor教育认证破解工具投毒风险，薅羊毛反被黑客组织窃密

点击蓝字，关注我们

一想到你在关注我就忍不住有点紧张

近期，火绒工程师在日常监测安全动态时发现一起利用AI编程工具政策漏洞实施攻击的安全事件。事件起因于AI编程工具Cursor推出的“学生教育一年免费计划”，该计划明确将中国大陆地区用户排除在外，其前端地域校验机制又曾存在技术漏洞，因此这一情况迅速被不法分子所利用，在GitHub等平台上涌现了大量所谓的“Cursor教育认证绕过工具”。值得警惕的是，其中部分传播的工具表面上声称可以帮助用户绕过地域限制，从而获取教育优惠，但实际上却暗藏恶意代码，目前已形成一套完整的攻击链条。

在此提醒广大用户，一定要通过官方渠道获取Cursor服务，切勿使用来源不明的程序，以免导致账号被盗或数据泄露，目前，火绒安全产品可对上述病毒进行拦截查杀，建议广大用户及时更新病毒库以提高防御能力。

查杀图

然而，Cursor教育认证机制的前端曾存在验证逻辑漏洞，部分非目标用户试图通过技术手段绕过认证限制。这种“薅羊毛”心理被黑客所利用——在GitHub、技术论坛等平台发布“Cursor教育版破解工具”“免费激活码生成器”等诱饵，将此类用户锁定为新的攻击目标。

前端验证

此次投毒Github项目为：[Cursor-free-student] （https://github.com/ryan20201123/Cursor-free-student）。

真实项目

Github投毒项目

通过对Github投毒活动主页的分析发现，该黑客组织不仅紧跟实时事件（如5月8日的前端验证攻击），还将Magisk（安卓Root隐藏工具）等热门技术项目作为投毒目标。由此可知，该黑客组织主要针对技术人员展开攻击，利用热门项目进行投毒。

Magisk

通过对IOC的溯源以及对其历史攻击手法的深入分析，我们能够确定该黑客组织与RedLine Stealer窃密团伙有着直接的关联。据悉，该团伙此前会利用lua脚本的字节码文件来实施攻击活动。然而，近期他们的攻击策略已转变为直接使用lua脚本文件来进行窃密操作。以下是关于此次病毒攻击的详细分析报告。

攻击方式

样本执行流程图如下：

流程图

样本起初通过GitHub进行投毒，其木马程序存储在GitHub的Release发布页面中，该木马文件由多个文件构成：

• lua.exe：lua语言的官方解释器程序，是Windows平台下的可执行文件。

• lua51.dll：lua5.1版本的动态链接库，主要为lua运行时提供支持（lua 5.1版本）。

• Launcher.cmd：批处理调用lua.exe并传入脚本（通常是cli.txt）。

• cli.txt：lua脚本文件。

Github

lua文件

cli.txt文件中存储了大量lua脚本文件，这些文件经过混淆处理后，代码量已达数万行。

混淆代码

通过AST对其进行解混淆、结构还原与重命名以及重构相关控制流。

解混淆

该lua脚本使用了大量的字符串混淆技术，包括十六进制字符串及Base64加密。当程序运行时，它首先会将自身复制到C:UsersAdminAppDataLocalODE3中。

字符串

启动目录

攻击者通过schtasks创建持久化计划任务，进而执行ODE3.exe，具体配置如下：

• 执行程序：%SystemRoot%ODE3.exe

• 参数文件：cli.txt

• 触发机制：每日12:00定时执行。

• 注册表路径：HKLMSOFTWAREMicrosoftWindows NTCurrentVersionScheduleTaskCacheTree

创建计划任务

计划任务

随后从https://github.com/tym884/test中拉取恶意代码：

https://raw.githubusercontent.com/tym884/test/refs/heads/master/ss64.txt

https://raw.githubusercontent.com/tym884/test/refs/heads/master/ss86.txt

恶意网址

Github恶意代码

其中，ss64.txt对应64位系统的恶意代码，ss86.txt对应32位系统的恶意代码。

Github恶意代码 ss86.txt