偷完密码不走了：木马开始遥控浏览器
LUNEXSTEALER 通过 100 多个被入侵网站分发，并在受害者浏览器内植入伪装成办公软件的 LUNARAXE 扩展，实现凭据窃取与页面级远程遥控。这标志着窃密木马从『快进快出』转向『驻留操控』，浏览器正在成为身份安全的新前线，企业防御体系需要重画边界。
窃密木马也讲『用户留存』了。
LUNEXSTEALER 的最新活动打破了窃密木马一贯的『快进快出』套路：它不再满足于偷一把密码就撤，而是要在受害者的浏览器里常驻下来。一个伪装成『Microsoft Office Word Editor』的浏览器扩展 LUNARAXE，让攻击者可以在受害者眼皮底下实时操控网页。这不是一次普通的窃密事件，而是一个信号——浏览器正从『被偷的对象』变成『被占领的据点』，身份安全的防线必须前移到扩展这个从未被认真设防的环节。
⚙️ 攻击链全景：一百多个网站当分发网
最危险的入口，往往长着一张可信的脸。
这轮攻击的投递方式并不花哨，却极其有效：攻击者拿下了超过 100 个网站，把它们变成了 LUNEXSTEALER 的分发网络。用户访问这些『看起来很正常』的站点，就会被引导下载这个 Windows 信息窃密器；木马落地后，第一件事不是大张旗鼓地横向移动，而是悄悄在基于 Chromium 内核的浏览器里装上 LUNARAXE 扩展。
这个攻击链的精妙之处在于『借势』。被入侵的合法网站自带信任背书——它们可能只是安全维护疏忽的普通站点，但在用户和安全产品眼里，它们都是『白名单』。据多位一线应急响应人员私下聊起的经验：现在最头疼的不是拦不住恶意域名，而是恶意流量根本不经过恶意域名。
从产业逻辑看，这是一种典型的『供应链式投毒』思维在消费端的复用。攻击者不再自建基础设施硬闯边界，而是寄生在存量信任体系上。对防御方来说，这意味着基于域名信誉、IP 黑名单的传统网络侧防线，对这类攻击的拦截效果正在系统性衰减——检测重心必须下沉到终端行为层。
🧩 LUNARAXE：披着 Word 皮的遥控器
它偷的不只是密码，是『你』本人。
LUNARAXE 的伪装堪称教科书级别：在浏览器扩展列表里，它叫『Microsoft Office Word Editor』。一个几乎每个办公族都不会多看一眼的名字。而它的能力清单，已经超越了传统信息窃密器的范畴：
| 能力 | 传统窃密木马 | LUNARAXE |
|---|---|---|
| 窃取表单输入的凭据 | 具备 | 具备 |
| 窃取 Cookie 与浏览历史 | 具备 | 具备 |
| 在网页内执行 JavaScript | 不具备 | 具备 |
| 攻击者远程实时操控浏览器 | 不具备 | 具备 |
前几行还在意料之中——Cookie 窃取本来就是绕过多因素认证的惯用手法，拿到会话令牌，攻击者可以直接『变成你』登录邮箱和内网系统。真正值得警惕的是后两行：在受害者正在浏览的网页里执行任意 JavaScript，意味着攻击者可以实时篡改页面内容、注入伪造的表单、在用户与真实网站之间做『中间人』。
推演一下实战场景就明白这有多可怕：企业财务人员打开一封邮件附带的审批页面，页面是真的、证书是绿的、内容却被扩展暗中改过——转账账户早已被调包。这类能力过去只有定向 APT 组织才舍得开发，现在出现在一个批量分发窃密器里，说明浏览器内驻留操控正在『武器化平民化』。
据多位接近相关威胁情报团队的人士说法，浏览器扩展类后门近来的上报频率明显抬头，原因很简单：扩展天然拥有读取页面内容的权限，等于攻击者拿到了一个官方签发的『合法监听位』。
📊 产业逻辑：窃密的『驻留化』军备
快进快出是游击队，驻留遥控是占领军。
过去几年，信息窃密器的商业模式是『量大管饱』：偷到的 Cookie、凭据打包进日志，在地下市场按账号类型明码标价出售，买家用这些『原料』去撞库、做会话劫持、发起商业邮件欺诈。整条产业链分工明确，窃密器作者只负责『生产原料』。
而 LUNARAXE 代表的方向是『深加工』：既然偷来的 Cookie 会过期、密码会改，那就干脆驻留在浏览器里，随取随用、持续产出。这把窃密从『一次性收割』升级为『订阅制榨取』，单台受害主机的长期价值被成倍放大。
另一个不容忽视的背景是浏览器生态的单一化。 Chromium 内核如今覆盖了主流浏览器，一套扩展代码几乎通吃所有目标——攻击面的集中，天然降低了攻击者的开发和适配成本。扩展商店的审核机制能拦住明显的恶意扩展，但拦不住『由已植入木马静默安装』的扩展，这恰恰是 LUNARAXE 的进入路径。
对防御方来说，不同手段的投入产出比需要重新排序：
扩展管控落在『高价值、低门槛』象限——它不贵，却直接封住了这类攻击的驻留通道，是本次事件里最应该被各大安全团队立刻排期的动作。
🛡️ 防御清单：把浏览器当成新的端点
边界已经画到地址栏里了，防御也该跟过去。
面对『驻留型』浏览器威胁，企业不能再把浏览器当作端点安全的附属品。基于这轮攻击暴露的每个薄弱环节，都能对应一条可落地的防御动作：
对个人用户，最低限度的动作是三件事：定期检查浏览器扩展列表里有没有『自己没装过的』办公类插件；重要账户开启不会被 Cookie 窃取直接击穿的强认证；对来路不明网站上的下载弹窗保持本能怀疑。
更深一层的产业判断是：随着凭据与 Cookie 窃取成为攻击标配，『身份』的防御重心正从『登录那一刻』转向『会话全程』。硬件密钥、设备绑定、会话异常检测这类手段的市场需求会被这类事件持续推高——对身份安全厂商而言，这既是警钟，也是明确的赛道信号。
LUNEXSTEALER 和 LUNARAXE 未必是最后也不会是最大的一个，但它们清晰地标注了窃密木马的进化方向：从偷数据到驻留、从批量收割到实时操控。浏览器这个每天承载我们全部数字身份的容器，正在被攻击者重新定价。防御方该做的，是在下一次『Word 编辑器』出现在员工浏览器里之前，把扩展治理、会话保护和行为检测这三块拼图补齐——威胁的驻留，不该以防御的失位为代价。