涉事网址：https://hbuilderx.app/cn/index.html
这个网站在搜索排名极度靠前 比官网还靠前
.10 月 10 日本人从上述页面下载 hbuilderx-win.zip。本机 Chrome 下载记录显示，下载链经过 1.startss-downloading.icu，最终文件地址为：
https://pub-6a90252f6d70443d960d6ac029dbd446.r2.dev/hbuilderx-win.zip
解压运行该安装包后，系统于当日 安装了 ScreenConnect 远程控制服务，服务名为 14.38.33135.0，程序隐藏在 C:\Program Files (x86)\Microsoft Visual C++ 2022\ScreenConnect.ClientService.exe，连接地址为 442.open-fast-ports.com:8041，启动参数带有 c=hbuilderx 标记。安装过程中也安装了正常的 HBuilderX，使捆绑远控不易被察觉。
.2026 年 10 月 14 日 09:07:29，该远控的事件日志记录执行远程命令；9 秒后，系统中出现恶意加载器 C:\ProgramData\Microsoft\Windows\Caches\4259B89A\RuntimeHost.exe。随后出现后台挖矿、恶意启动项、杀毒排除项，以及窃取浏览器 Cookie 和 Cursor 登录令牌的记录。显卡曾持续接近 100% 负载，温度达到约 82～83℃。
已保留的木马原始日志包含以下文字：
2026-10-14 09:09:55 | CursorHarvester: STEAL_CURSOR: 6 token(s) uploaded.
2026-10-14 09:14:26 | CookieHarvester [immediate]: 113 cookies uploaded=True
2026-10-14 09:44:01 | CookieHarvester [chrome (delayed)]: 3767 cookies uploaded=True本人已保留浏览器下载来源记录、服务安装及远控执行事件日志、恶意程序日志和文件哈希。请求核查该网站及关联下载地址，阻断恶意安装包传播
