有人用 AI 复刻了 Adobe 全家桶，黑客用 AI 复刻了复刻，专偷密码和数字钱包
内容提要
火绒安全实验室发现，攻击者假冒开源AI图像编辑项目PhotoCraft，在GitHub发布名称高度相似的仓库，分发携带恶意程序的Windows安装包。该程序会绕过Windows Defender，窃取Steam账号和数字钱包数据，伪造钱包界面骗取密码和恢复词，替换剪贴板中的收款地址，并后台挖矿或将电脑变为代理服务器。官方项目地址为storytold/photocraft，下载前应仔细甄别仓库地址、代码和Issue页面。
延伸解读
假冒仓库的伪装手法
攻击者创建的仓库名为 PhotocraftAdobe/PhotoCraft-Photoshop，与原项目 storytold/photocraft 高度相似，容易让人误以为是官方版本。这种命名策略利用用户对热门项目的信任，诱导下载携带恶意程序的 Windows 便携版。文章强调，此次事件是第三方假冒仓库，并非原版 PhotoCraft 被植入恶意代码，因此辨别仓库地址是关键。
恶意程序的多重危害
该安装包会尝试绕过 Windows Defender，并在后台下载更多组件。其功能包括窃取 Steam 账号信息、搜集 Exodus 等数字钱包数据文件、伪造钱包界面骗取密码和恢复词、监控剪贴板替换数字货币地址，以及后台挖矿或将电脑变为代理服务器。这些行为覆盖账号、资产和系统资源，危害范围较广。
下载前的甄别要点
文章建议用户仔细甄别仓库地址，认准官方组织名称 storytold。对于热门项目，可以查看代码、提交历史和 Issue 页面，Issue 中通常有用户提问和开发者回复，能帮助确认是否走对了路。GitHub 本身无法保证仓库安全，因此下载前多花几分钟核实，能有效降低中招风险。
Q&A
PhotoCraft 是什么项目？为什么会被黑客盯上？
PhotoCraft 是一个利用 AI 复刻 Adobe 全家桶（包括 Photoshop、Illustrator、Premiere Pro 等）的开源图像编辑项目，免费且火爆全网。黑客盯上它是因为其知名度高，用户容易误下载假冒版本。
假冒的 PhotoCraft 仓库具体做了什么？
攻击者在 GitHub 上创建了名为 PhotocraftAdobe/PhotoCraft-Photoshop 的仓库，名称与原项目高度相似，提供 v0.5.0 的 Windows 便携版下载，其中包含一整套恶意程序。
这个恶意安装包会窃取哪些信息？
它会窃取 Steam 账号信息（记录密码输入和部分粘贴内容），盗取 Exodus、Electrum、Ledger Live 等数字钱包的数据文件，并伪造钱包界面诱骗用户输入密码、PIN 码甚至恢复词。
恶意程序除了窃取信息，还有哪些危害行为？
它会监控剪贴板，将数字货币地址替换为黑客控制的地址；还会在后台挖矿占用电脑算力，甚至将受害电脑变成网络代理服务器。
如何辨别 PhotoCraft 的官方仓库，避免下载到假冒版本？
官方 PhotoCraft 的 GitHub 地址是 storytold/photocraft，请认准 storytold 这个组织名称。下载前应仔细甄别仓库地址，最好查看代码、提交历史和 Issue 页面，尤其热门项目的 Issue 中会有用户提问和开发者回复，可帮助确认。
这次事件是原版 PhotoCraft 被植入恶意代码了吗？
不是。这次发现的是第三方假冒仓库，原版 PhotoCraft 并未被植入恶意代码。但 GitHub 本身无法保证仓库安全，用户需自行甄别。
