`This Printer company served you malware for months, called them false positives
打印机公司投毒长达数月，却称之为“False Positive”
Neowin®
David Uzondu Neowin · May 17, 2025 01:42 EDT · Hot! with 1 comment
如果你拥有一个 Procolored 喷墨打印机，尤其是 UV 型号，你可能需要检查你的系统是否存在恶意软件，特别是如果你在过去六个月内下载了配套软件，因为最近发现 Procolored 正在分发恶意软件。
第一个警报来自 Cameron Coward，他是 YouTube 频道 "Serial Hobbyism." 的创建者。Coward 以其 DIY 电子产品和技术评测而闻名，他正在评测一台价值 6000 美元的 Procolored UV 打印机，并试图从随附的 USB 驱动器安装其配套软件时，他的杀毒软件标记了恶意软件。识别出的威胁是 USB 传播蠕虫和 Floxif file infector。当 Coward 向 Procolored 报告该问题时，该公司最初将其驳斥为 “False Positive”。
Coward 仍然不相信 Procolored 的保证，于是转向 Reddit 寻求专家意见。该帖子引起了网络安全公司 G Data 的注意，该公司决定进一步调查。他们的一位分析师检查了 Procolored 公开提供的软件下载，这些下载托管在 mega.nz 上，并且大多在 2023 年 10 月左右最后更新。
VF 11 Pro meganz download | Image via G Data
调查证实，不仅在 Coward 的 USB 驱动器上，而且在几种打印机型号的官方下载中都存在恶意软件。G Data 确定了两个主要威胁：Win32.Backdoor.XRedRAT.A，一个基于 Delphi 的后门，以及 MSIL.Trojan-Stealer.CoinStealer.H，一个用 .NET 编写的加密货币窃取器。虽然 Floxif 没有出现在 G Data 审查的网站下载中，但它在 Coward 的 USB 上的存在表明，在早期阶段可能存在更受损的环境。
根据 G Data 的说法，引用 eSentire 的早期分析，XRedRAT 后门是一种较旧的恶意软件，据报道，当 eSentire 在 2024 年 2 月记录它们时，它的命令和控制服务器 URL 已经离线。自那时以来，这个特定实例似乎也一直处于非活动状态。被 G Data 命名为 “SnipVex” 的加密货币窃取器是一个特别麻烦的威胁。它作为 clipbanker 运行，将复制的加密货币地址替换为攻击者控制的地址，并且还通过将自身附加到可执行文件来充当文件感染器。以下是负责将 Bitcoin 地址替换为攻击者的剪贴板中的代码：
Image via G Data
G Data 的研究表明，与 SnipVex 关联的 Bitcoin 地址在 2024 年 3 月 3 日停止活动之前，已经收到了大约 9.3 个 BTC，约合 10 万美元。在 Procolored 的可下载文件中发现的广泛感染意味着恶意软件可能通过开发人员的工作站或公司的构建服务器传播。
在 G Data 提供了详细的调查结果后，Procolored 提供了比最初否认 Coward 的情况更实质性的回应。该公司表示：
我们网站上托管的软件最初是通过 USB 驱动器传输的。病毒可能在此过程中被引入。此外，由于 PrintEXP 软件默认情况下使用中文，因此某些国际操作系统可能会错误地将其标记或误解为恶意软件，特别是如果系统无法很好地处理非英语程序。
Procolored 还提到，它已于 2024 年 5 月 8 日左右暂时从其网站上删除了所有软件，以便进行全面扫描，并且正在提供新的、干净的软件包，G Data 通过检查新文件证实了这一说法。
对于可能受到影响的客户，G Data 建议检查是否对打印机软件进行了任何杀毒软件排除，因为官方供应商软件通常被隐式信任。由于像 Floxif 和 SnipVex 这样的文件感染器会广泛损坏系统文件，因此网络安全公司建议，最安全的做法通常是对所有驱动器进行完全重新格式化并全新安装操作系统。
尽管 XRedRAT 后门可能由于其离线命令和控制服务器而失效，但 SnipVex 仍然是一个严重的威胁，因为它能够感染文件，即使它已经停止虹吸 Bitcoin。G Data 没有发现 Procolored 有意分发恶意软件的证据，并且该公司已承诺改进其内部流程。如果您好奇，Coward 对 Procolored UV 打印机的评论 可在 Hackster.io 上找到。