文章总结： 文档分析TGBot作为低门槛恶意软件C2通道的现状，揭示PhantomStealer等家族复用开源代码、AI辅助拼装的生态。通过日志结构溯源样本血缘，指出攻击者因操作失误导致的自我暴露问题，提供IOC和归因线索。
综合评分： 86
文章分类： 恶意软件,威胁情报,逆向分析,安全运营
TG Bot 低门槛恶意软件的温床：开源复用、AI 拼装与攻击者自我暴露
i3eg1nner
i3eg1nner
SecureNexusLab
2026年3月27日 10:10
北京
TG Bot 正在成为低门槛攻击者最常用的控制和数据外传通道。市面上层出不穷的各类 “新恶意软件家族”，本质上大多只是对开源窃密木马（Stealer）与远控木马（RAT）的简单重新打包。而 AI 的出现，进一步拉低了恶意样本拼装和分发的门槛，让很多缺乏开发能力、测试经验和操作安全意识的人也能快速参与攻击。
结果就是，低端恶意软件的生态迅速扩张，但与此同时，日志、目录结构、回传格式，甚至操作者自己的测试痕迹，都在把这些家族的真实血缘和操作者的失误暴露得越来越明显。攻击门槛确实更低了，但因为操作失误、环境不做隔离、痕迹擦不干净，初级攻击者反而更容易暴露自己的情况，这也越来越普遍。
引子
AI 把恶意软件的生产门槛又往下拉了一截。
今天再去拼一个新的木马家族，难度和几年前已经不是一回事了。门槛降下来，涌进来的人自然就更多：很多人既没有基础设施能力，也没有稳定的开发能力，但又想快速拥有一套现成的控制通道。于是，最省事的选择就成了 TG Bot。
TG Bot 被拿来做 C2，并不新鲜。这条路，攻击者已经走了很多年,只不过，在作者发布关于 Matkap 的文章之后，事情开始变得更有意思：作者可以直接从恶意样本和钓鱼工具包里拿到 bot 凭据，再顺着这些凭据从 bot 侧把被窃日志直接拉出来。
这个动作某种程度上打乱了不少家族的节奏。像 XWORM、Snake Keylogger、VIPKeylogger 这些样本，一度都从 TG 上撤了出去。
但新的问题很快又来了。
随着一批明显带着 AI 生成痕迹的样本开始涌入，Matkap 持续收到大量来自新活动的日志。
一、先看结论：这批“新家族”到底新在哪里？
这一轮样本看下来，有几个结论很明确：
「第一，TG 依然是低成本恶意样本最顺手的 C2 通道。」
便宜、成熟、现成，还自带消息投递能力。对于没有基础设施能力的低端操作者来说，几乎是天然选择。
「第二，很多所谓的新家族，其实并不新。」
大量样本只是把旧的开源 Stealer/RAT fork 一份，改个名字、包个 builder、换个通知模板，然后重新对外卖。
「第三，AI 确实在降低恶意软件开发门槛。」
但问题不只是“代码更容易写了”，而是更多没有工程能力、没有测试习惯、没有 OPSEC 意识的人，也开始能拼出“看起来能跑”的样本。
「第四，日志不会撒谎。」
宣传页面、builder 界面、群组广告都可以包装，但日志结构、文件命名、回传格式、目录残留这些细节，往往会直接暴露真实血缘关系。
二、最活跃的几类 Stealer
这部分主要看三件事：
- 日志长什么样
- 数据怎么外传
- 各家到底是不是“旧瓶装新酒”
1）Phantom Stealer：这波样本里的头部玩家
Phantom Stealer 是这一批里最活跃的一支，约占我们收集到受害者日志的 39%。从量级上看，它是这波样本里的头部家族。
报告格式很完整，甚至完整得有点过头
一台机器一旦中招，Phantom 会立即通过 TG Bot 回连。报告结构分得很清楚：
- 系统信息：操作系统、用户名、主机名、语言、杀软
- 网络信息：网关、内网 IP、外网 IP
- 浏览器恢复结果：密码、Cookie 数量
- 软件与账户信息
- 文件抓取结果
- 设备信息
- 模块状态：启动项持久化、键盘记录、截图、剪贴板劫持、文件抓取等
更有意思的是，它的通知里甚至会泄露操作者自己的 TG 账号和销售站点。换句话说，受害者报告本身，也在给归因留线索。
Phantom 的 TG 回传报告
Phantom 还会再补一条“设备上线”确认消息，本质上就是给操作者一个 we’re live 的通知。
Phantom 的连接确认消息
日志结构很规整
它不会把数据乱打一锅发回去，而是先整理好，再打包外传。压缩包内部通常有 4 个目录：
- 「Browsers」：浏览器密码、Cookie、自动填充、历史记录
- 「Directories」：文件系统枚举和定向文件抓取结果
- 「Messenger」：TG 会话、Discord Token 等通信类数据
- 「System」：系统信息、安装软件、截图
这个目录结构很能说明问题：Phantom 不是“抓到什么发什么”，而是已经按操作者的使用习惯做好了数据分层。
Phantom 的日志目录结构
外传方式：ZIP + TG
所有数据会被压成 ZIP，通过 TG Bot 直接发回去。压缩包命名一般长这样：
<path_hash>@<COMPUTERNAME>.zip
每一份日志都带着和机器绑定的唯一标识。另外，发送这些压缩包的账号通常显示为 「Deleted Account」，这显然是为了增加追踪 bot 基础设施的难度。
Phantom 的日志回传方式
经典免责声明：仅供学习研究
这类样本最滑稽的部分，经常不是代码，而是销售页上的免责声明。
Phantom 的站点照样写着那套老词：软件仅供教育用途，不得在未授权系统上使用。问题在于，它卖的本来就是一个正在现实环境里大量投放的 Stealer。所谓免责声明，更多只是给自己找个借口。
Phantom 销售站点与免责声明
2）Unix Stealer：名字换了，底子没换
Unix Stealer 大约占样本总量的 19%，活跃度仅次于 Phantom。
日志投递方式
总体套路和 Phantom 很像：
- 本地先打包
- 再通过 TG Bot 发回去
压缩包命名一般是：
Unix-<USERNAME>-<ID>.zip
这类命名很适合操作者快速分拣：不用解压，先看文件名就知道这台机器大概值不值得进一步处理。
Unix Stealer 的日志投递
真相：底层其实是 Stealerium
日志里的连接确认消息已经把底细说出来了：
❝
✅ Stealerium builder connected successfully!
❞
这基本等于直接承认，所谓 Unix Stealer，底层还是 「Stealerium」 —— 一个已经公开在 GitHub 上的开源 infostealer/keylogger/clipper 项目。
这类操作很典型：
- fork 一个开源工具
- 改个名字
- 套个 UI
- 再包装成自己的“产品”出售
Unix Stealer 与 Stealerium 的关联线索
同一套 Bot 基础设施里还挂着 Blank Grabber
更有意思的是，这个 bot 不只是处理 Unix Stealer 的日志，还同时处理 「Blank Grabber」 的日志。后者同样是 GitHub 上很有存在感的开源凭据窃取器。
Blank Grabber 的报告就更“全家桶”了：
- IP 地理位置
- 硬件信息
- Discord 账户
- 浏览器密码、Cookie、历史记录、自动填充
- Roblox Cookie
- TG 会话
- 钱包
- Wi-Fi 密码
- 摄像头截图
- Steam / Epic / Uplay / Growtopia / Minecraft 会话状态
- 明文 Windows Product Key
这类现象很能说明现实世界里的攻击者思路：他们并不在意“样本血统纯不纯”，他们只关心一件事——能不能收回来值钱的数据。
同一基础设施里出现的 Blank Grabber 日志
甚至还拼了一个 Project Chimera
同一条 Bot 流水线里，还能看到另一个模块，自称 「Project Chimera V5.0.1」。它的流程分三步：
- 先把
data_package.zip传给 bot - 然后在目标主机上跑注入阶段
- 最后回传 exfil 汇总
这类样本看多了会发现，它们往往不是一个从设计上高度统一的产品，而更像是把几套开源代码、几种模块和几个流程硬焊在一起，只要能跑通就行。
Project Chimera 模块痕迹
Unix Stealer 自己的报告格式
相比 Phantom，Unix Stealer 的通知简洁很多，主要分三段：
- 「System Info」：主机名、OS、内存、UUID、CPU、GPU
- 「IP Info」：IP 和地理位置
- 「Grabbed Data」：Cookie、密码、信用卡、自动填充
也就是说，它没有 Blank Grabber 那种什么都要抓一遍的野心，而是更聚焦于直接变现的数据。
Unix Stealer 的核心报告格式
目录结构也暴露了目标人群
它的压缩包内部一般分 3 个目录：
- 「Browsers」：浏览器凭据和 Cookie
- 「Display」：截图和屏幕可视内容
- 「Games」：游戏平台会话数据，如 Steam、Epic、Roblox 等
这个 「Games」 目录很说明问题。它的目标并不是企业办公终端，而更像是带游戏账号、虚拟物品和支付方式的普通用户，尤其是年轻用户。
Unix Stealer 的日志目录结构
3）Blank Grabber：开源模板化恶意软件的典型样本
Blank Grabber 起家就是 GitHub 上的一个开源 Python Stealer。之后被不断 fork、魔改、改名、二次转卖，几乎已经变成脚本小子生态里的“公共底座”。
从 Matkap 上线到现在的一年半里，它一直是最稳定活跃的家族之一。最近 5 个月里，它依然保持着相当高的活跃度。
仓库本身的数据也很能说明问题：
- 1000+ stars
- 276 forks
- 最后一次提交停在 2023 年 8 月
也就是说，它已经从一个具体项目，演化成了一种可复制、可包装、可再销售的恶意软件模板。
Blank Grabber 的公开项目信息
更能说明问题的是，在这段时间里，我们看到了 「20 个不同的活跃 TG Bot」 正在接收 Blank Grabber 的日志。20 个操作者，跑着几乎同一套工具，这就是低门槛恶意软件的现实传播方式。
一个小但实用的反分析设计：压缩包带密码
Blank Grabber 和前面几家不同的一点是：它的日志压缩包通常带密码。
RAR 打开时会提示输入密码。这个设计谈不上高级，但效果很直接：
- 阻断一部分自动化分析
- 提高中间人截获后的处理门槛
- 也会干扰像 Matkap 这类依赖自动化处理的分析工具
命名方式通常是：
Blank-<USERNAME>.rar
Blank Grabber 带密码的日志归档
报告格式的目的很明确：让操作者快速判断“值不值钱”
TG 通知一般分三部分：
「IP 信息」
- IP 地址
- 地区、国家、时区
- 是否蜂窝网络 / 代理 / VPN
- 反向 DNS
「系统信息」
- 主机名
- OS 版本
- 总内存
- UUID
- CPU / GPU
- 明文 Windows Product Key
「窃取信息」
- Discord 账户
- 浏览器密码、Cookie、历史记录、自动填充
- Roblox Cookie
- TG会话
- 常见文件
- 钱包
- Wi-Fi 密码
- 摄像头截图
- Minecraft / Epic / Steam / Uplay / Growtopia 会话状态
- 截图和系统信息标记
结构非常统一。统一到什么程度？统一到操作者不必解压，也能大致判断这台机器值不值得进一步跟进。
Blank Grabber 的受害者报告结构
三、一些新家族和 RAT：功能越来越杂，底层越来越像拼装货
除了上面三个最活跃的家族，这段时间里还出现了不少别的样本与 RAT。规模未必都大，但各有各的特征，也很能反映这波样本的整体风格。
1）NettyRat：TG 驱动的完整 RAT
NettyRat 是一个标准意义上的 RAT，而且 C2 同样走 TG。和前面那些“打完就回传”的 Stealer 不同，它给操作者的是持续交互式的控制能力。
它的命令集合很完整：
「系统侦察」
/sc：截图/ip：IP 信息/sysinfo：系统信息/soft：已安装软件/processlist：进程列表/processpath：进程路径/pwd、/dir：目录浏览
「文件系统操作」
/cd/mkdir/rm/mv/copy/download/open
更关键的是：任何发到 bot 的文件，都能自动下发到目标主机。这意味着它不只是窃密，还具备二次投放能力。
「监控能力」
/rec：录音/link：打开 URL 并返回截图/alert：在受害者屏幕上弹提示框
「数据窃取」
/browsers//browsersforced/telegram//telegramforced/steam/discord/wallets
「加密货币定向能力」
/seedfind：全盘搜索可能的助记词
这个命令非常说明问题。一旦样本开始专门找 seed phrase，它瞄准的就不再是泛化信息窃取，而是明确的钱包资产。
「控制能力」
/shutdown/restart/processkill/terminate
NettyRat 的控制界面与命令能力
最危险的部分：TG 会话窃取
其中最危险的一个命令是 /telegramforced。
它会遍历所有磁盘，强行搜索 TG 的 tdata 目录，并把会话数据打包外传。回传内容包括：
- 加密会话 blob
key_datassettingssusertag- 各类国家/区号/快捷方式配置
这些内容足以在不需要密码和 2FA 的前提下接管 TG 账户。
另外，日志里还直接暴露出一个硬编码路径：
C:\ProgramData\temp_telegram_gaysex\
路径本身很粗糙，但正因为粗糙，它反而是很有价值的 IOC。
NettyRat 的 TG 会话窃取细节
2）EduStealer：少见的 Linux 目标
EduStealer 和其他样本最大的不同，是它明确针对 「Linux」。
大多数低端 Stealer 都只盯 Windows，所以当一个 TG 型窃密样本开始把 Linux 纳入目标，其实说明低端攻击者也在尝试扩张自己的攻击面。
日志格式与投递方式
日志通过一个名为 「“المساعد”」（阿拉伯语里是“助手”）的 TG Bot 回传，压缩包命名一般是：
edu_stealer_YYYYMMDD_HHMMSS.zip
每次回传的内容都很小，通常只有 3 个文件，加一个 system_report.txt 让操作者先预览。大小普遍很小，这从侧面也能看出：Linux 环境下，很多浏览器凭据和会话数据没有 Windows 那么容易抓。
另一个明显特征是：日志回传相当规律，几乎一小时内能看到多轮。这通常意味着它不是一次性执行，而是：
- 要么被挂到了 cron 上周期执行
- 要么在一天之内不断感染不同主机
EduStealer 的 Linux 日志回传
EduStealer 的 Linux 日志回传
它不只是 Stealer，也带 RAT 能力
除了窃密，它还带一个很基础的 RAT：
/screenshot/info/shell [cmd]/help
真正关键的是 /shell：这实际上就是把任意 shell 执行能力通过 TG 暴露给了操作者。
3）IMBA Stealer：结构简单，但动作直接
IMBA Stealer 的链路非常简单：感染、打包、通过 TG 外传。发送账号同样显示为 「Deleted Account」，这也是 TG 型恶意软件里很常见的一种 OPSEC 习惯。
感染通知极简化
它会先发一条：
❝
🎯 IMBA Stealer started!
❞
然后只附上少量主机信息：
- 主机名
- 用户名
- 操作系统
- CPU 核心数
- 设备型号
没有像 Phantom 那样附带杀软、网关、网络细节，刻意做得很简短。另一个值得注意的现象是：多台“受害者”往往在同一秒内被上报，这通常意味着投放过程已经高度自动化。
IMBA Stealer 的初始通知
日志和截图分开发
压缩包命名比较随机，比如：
Rb5aeobNZ8Z2.zip
文件名里不带受害者信息，只写一个简单的 Report。随后，Bot 还会单独再发一张 PNG 截图，让操作者可以先看一眼桌面，再决定要不要解压进一步分析。
IMBA 的日志归档与截图回传
压缩包结构是扁平的
IMBA 不做目录分层，而是直接把一堆 .txt 文件扔在压缩包根目录：
chrome_passwords.txtbrowser_cookies.txtbrowser_history.txtautofill.txtdownloads.txtsystem_info.txtinstalled_software.txtrunning_processes.txtnetwork_info.txtdesktop_files.txtdiscord_tokens.txtsteam_sessions.txttelegram_data.txtwifi_passwords.txtfilezilla.txtcrypto_wallets.txtclipboard.txt
其中 clipboard.txt 这个模块实现成本极低，但收益经常很高。因为感染发生时，剪贴板里往往正好就是密码、Token、钱包地址，或者正在复制的敏感文本。
IMBA 的平铺式日志结构
四、攻击者的自我暴露：那些先把自己打穿的操作者
如果说前面展示的是“今天低门槛恶意软件长什么样”，那么这一部分展示的就是另一面：
「这些工具的操作者，往往连自己都保护不好。」
Builder 配错、Anti-VM 没开、样本先在自己主机上跑、bot 凭据泄露到公开仓库里……这类翻车，在这批日志里并不少见。
更有意思的是，Matkap 收到的大量日志，根本不是来自真正的受害者，而是来自操作者自己。
不少人第一次跑样本，不是在测试环境，也不是在隔离机，而是在自己的日用主机上。于是，打出去的第一枪，先命中的就是自己。
1）Naytilyss Stealer：第一个受害者就是作者自己
Naytilyss Stealer 这个案例几乎带着教学意义。
它连名字都直接用了操作者自己的 handle，而日志也完整记录了整个开发和测试过程。
第一次上线：用户名就是答案
第一条受害者通知已经把真相写在脸上：
- Hostname：
NAYTILYSS - Username：
NAYTILYS - Windows 11
- AMD64
bot 消息还是俄语，大意是：
❝
RAT 已启动，新受害者已连接
❞
问题在于，这个“新受害者”根本不是别人，就是作者自己。
Naytilyss 的第一次自感染通知
测试方式也很真实：对着自己主机调命令
它支持的命令并不多，但都真能跑，比如：
screenshotpskill [pid]lockstartup_onexit- 任意
cmd
日志里能看到操作者直接拿自己的机器联调：
- 杀掉本机上的 AyuGram.exe
- 对自己的桌面执行
lock
这已经不是“误触”，而是完全把自己的日常机器当成了开发测试环境。
Naytilyss 的实时命令交互
第一次窃取，偷到的还是自己
接着操作者发送 steal。bot 回传：
C:\Users\NAYTILYS\AppData\Local\Temp\stolen.zip
大小 13.8 KB，标签写着 Stolen data。
换句话说，这个 Stealer 产出的第一份日志，就是作者自己机器上的第一份日志。
第一份 stolen.zip
连开发目录都一起暴露了
之后操作者通过 shell 进入 C:\hack，目录里能看到完整开发环境：
rat.pystealer.pyste1aler.pyrat.specbuild/dist/output/ffmpeg.exeupx.exe- 自定义图标
SpeedAutoClicker.exe
从这个目录结构基本可以反推出完整开发链：
- 本地 Python 开发
- 用 PyInstaller 打包
- 结合 ffmpeg / upx / 图标伪装
- 最后把产物伪装成“自动点击器”之类的工具分发
这已经不是单纯的“自感染”，而是把从开发到打包到投递伪装的整套环境都交给了自己的样本。
Naytilyss 暴露出的开发目录
第二次运行：偷得更彻底
不久之后，bot 又收到一个新的归档：
stolen_data.zip，大小 10.4 MB。
这次 Stealer 跑得更完整，里面已经包含：
- 浏览器数据
- Discord 数据
- Minecraft 数据
- Wi-Fi 密码
全部来自它的作者自己。
第二次窃取得到的完整日志
第二次窃取得到的完整日志
最后一幕：给自己控制 RAT 的界面截图
到最后，操作者甚至向 bot 发送了 ss / sspng 命令，让它给自己的机器截图。结果当然是：bot 把他正在控制 bot 的 TG 窗口截图发了回来。
这是一个几乎完美的闭环：
- 自己写 RAT
- 自己感染自己
- 自己偷自己的数据
- 再让 RAT 给自己控制 RAT 的界面拍张照
从样本分析角度看，这类日志比很多“标准受害者日志”都更有价值，因为它把开发、测试和使用过程一起暴露了出来。
RAT 对操作者自身屏幕的截图
RAT 对操作者自身屏幕的截图
2）专偷 TG 会话的样本：先把自己的会话偷了
这个案例的目标极其明确：
- 专门抓 TG Web Session
- 进一步抓
tdata - 最终目的是接管 TG 账户
也正因为目标足够集中，它在日志里留下了大量非常有价值的细节。
最初版本：服务起来了，但 Cookie 没抓到
bot 名字就叫 「 TG attacker」。启动时会报告：
❝
Session Capture Service Started
❞
通知里还直接泄露了一个 VPS 地址：
http://192.168.137.131:5000/...
这是一个局域网地址，说明这个阶段还处在开发测试环境里。
第一次抓取发生得很快，但数据只有 263 字节，而且 cookies 字段为空。也就是说，hook 已经触发了，但真正的会话令牌还没抓到。
第一次抓取，cookies 为空
几分钟后：Bug 修好了
四分钟后，再看下一次抓取，情况就不一样了。数据长度涨到了 6949 字节，里面已经出现了：
kz_versionxt_instance- 账号 ID
- 时间戳
- 以及最关键的
dc3_auth_key
也就是说，修完第一次 bug 之后，样本已经开始能真正抓到 TG 会话。
问题在于，这些 session 基本都还是操作者自己浏览器里的。
第二次抓取，auth key 已经出现
再往后：DC4 auth key 和完整 tdata 都来了
继续看后面的日志，bot 开始明确标记：
❝
Contains DC4 auth key!
❞
说明它已经能稳定识别 TG 的关键认证 token。再往后，连完整的 tdata_4852.zip 也被送了出来，里面就是标准 TG tdata 结构：
A7FDF864FBC10B77D877F783D5D3EF8CF8806DD0C461824Fkey_datasmapssettingssusertag
这些内容已经足够完成 TG 会话接管。
DC4 auth key 与 tdata 归档
DC4 auth key 与 tdata 归档
怎么确认这还是他自己的号？
因为拿着这些会话去看 TG 账户本身，答案非常直接：
- 聊天列表里能直接看到 「 TG attacker」 这个 bot
- 同一个账号正在和自己的 C2 bot 聊天
- 右侧还在实时接收浏览器数据和截图
- 主聊天窗口里，这个人甚至正在拿
WindowsUpdate.exe伪装成系统更新去诱骗别人安装
也就是说：
- 他在开发 TG 会话窃取工具
- 他拿自己的账号做测试
- 然后把自己的会话、自己的 bot、自己的投递行为，一起交给了自己的样本
这类案例特别能说明问题：很多操作者根本没有把“开发、测试、投递”这三件事做隔离。
从被窃会话里看到操作者自己的 bot 与社工投递行为
3）Ultimate Stealer：一边用 DeepSeek 写样本，一边被样本偷自己
Ultimate Stealer 的案例，很能代表今天这波 AI 辅助恶意软件开发的现实感。
第一条日志：看起来普通，其实一点都不普通
bot 名叫 「Заказ программ」（“软件订单”），第一条消息是：
❝
🚀 ULTIMATE STEALER ACTIVATED
❞
目标看起来像是一台普通 Windows 主机，但后面的细节会证明：这同样是开发者自己。
Ultimate Stealer 的第一条通知
先从自己的桌面抓起
Stealer 很快开始从桌面路径里回传文件：
C:\Users\daqn4\Desktop\DiscordFix_6.0.269\
这个目录名就很有意味：要么是伪装投递用的壳，要么就是正在开发/调试的工作目录。
从开发者桌面目录抓取文件
最讽刺的部分：DeepSeek 越狱提示词也被偷出来了
被偷出来的文件里，有一个叫 дип сик.txt 的文本，俄语音译就是 DeepSeek。
里面是一段非常典型的 LLM Jailbreak 提示词，也就是那套常见的“飞机失事幸存者”角色扮演模板，用来绕过内容安全限制，让模型输出本不该输出的恶意内容。
这一幕非常有象征意义：
- 开发者在用 AI 辅助写恶意软件
- 然后又被自己写出来的恶意软件把这些提示词偷了回去
几乎像一条完整的闭环供应链：
「AI 帮人写木马，木马再把写木马时留下的痕迹一起带走。」
被回传出来的 DeepSeek 越狱提示词文件
截图把开发现场一起录下来了
后续截图里，PyCharm 开着项目，源文件名是 вилокер.py；浏览器里同时开着 DeepSeek，以及多个 “Plane Crash Survivors” 页面；旁边还有俄语黑客教学视频。
也就是说，这已经不是“样本可能是 AI 写的”这种推测了，而是连开发现场都一起被自己暴露了出来：
- IDE
- LLM
- 越狱提示词
- 社工伪装逻辑
- 测试桌面
- 自己的 C2 bot
甚至连一个伪装成修复工具的快捷方式 UltimateFix 都躺在桌面上。
这类案例说明的已经不只是“技术粗糙”，而是一个更现实的问题：
「低门槛 AI 编程，正在把一批原本没有开发能力的人快速推入恶意软件开发链条。」
他们写出来的工具未必成熟，但足够跑；而他们最大的短板，不是代码，而是连最基本的隔离和 OPSEC 都做不到。
开发现场截图（PyCharm / DeepSeek / C2 同屏）
开发现场截图（PyCharm / DeepSeek / C2 同屏）
开发现场截图（PyCharm / DeepSeek / C2 同屏）
五、最后怎么理解这件事
这篇文章真正想说明的，并不是“今天的恶意软件又有多高级”。恰恰相反，真正值得注意的是：
- TG Bot 正在成为低成本、低门槛恶意软件最重要的 C2 载体之一
- 很多所谓“新家族”，本质上只是旧开源项目的再包装
- AI 让更多没有基础能力的人也能拼出一个“像样”的样本
- 但这些人通常没有开发流程、没有测试纪律，也没有最起码的 OPSEC
于是就出现了一个很讽刺的局面：
他们当然是在实施攻击，但很多时候，最先暴露、最先把自己打穿的，反而是自己。
从防守者角度看，这反而是一种机会。因为这类样本虽然数量很多、变种也很多，但它们往往有几个共同特征：
- TG 作为天然的外传与控制通道
- 大量沿用旧开源项目的目录结构、命名和报告模板
- 对沙箱和分析环境识别能力很差
- 操作者习惯差，容易在日志里留下真实身份、机器、目录、开发环境和 bot 基础设施信息
这些东西叠加在一起，使得今天的低端恶意软件生态虽然更热闹了，但也比过去更容易被观察、归类和拆穿。
说到底，这不是什么黑科技的胜利，而只是自动化和低门槛工具，把原本小规模、分散的脏活做成了流水线。
对研究者来说，这恰好意味着：这条线，值得继续盯。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：SecureNexusLab i3eg1nner
i3eg1nner《TG Bot 低门槛恶意软件的温床：开源复用、AI 拼装与攻击者自我暴露》