隨著經典遊戲的非官方PC移植項目在GitHub上持續升溫，一條瞄準玩家信任的惡意軟體分發鏈條也悄然成形。近日，多家安全機構披露，大量自動化機器人正潛入非官方移植項目的錯誤追蹤頁面，以「修復補丁」為誘餌，向不知情的玩家投遞惡意代碼。
攻擊者的手法並不複雜，卻精準擊中了玩家的痛點。機器人在移植項目的Issue（問題反饋）板塊中創建虛假任務，偽裝成熱心的開發者或貢獻者，宣稱已經解決了「遊戲崩潰」「運行性能不佳」「兼容性不足」等玩家最常抱怨的問題，並隨即將問題自行標記為「已解決」，附上所謂的修復文件鏈接。
這些描述聽起來足夠專業，承諾的功能也的確是玩家所需，但鏈接指向的壓縮包中裝載的卻是惡意載荷。
安全公司Apiiro的研究進一步揭示了這條投遞鏈的完整路徑：惡意壓縮包內是一個名為SmartLoader的加載器，它會在受害者機器上進一步釋放StealC資訊竊取程序，目標包括瀏覽器中保存的密碼、加密貨幣錢包數據以及雙重身份驗證代碼。
安全專家的建議可以歸結為一條簡單但不易執行的原則：下載非官方PC移植版本時，只應從項目倉庫的官方Releases頁面獲取文件，不要輕信Issue區、留言區或陌生帳號提供的「修復鏈接」。如果主機或模擬器相關的壓縮包中出現.exe或.bat文件，應將其視為需要警惕的信號。
