NLlemain/Phantom-Clipper
GitHub: NLlemain/Phantom-Clipper
基于 Chrome DevTools Protocol 注入的隐蔽浏览器级加密货币地址劫持工具，通过 Hook DOM 在页面渲染前替换目标地址和二维码。
Stars: 0 | Forks: 0
# PhantomClipper
一个隐蔽的、基于浏览器的加密货币地址拦截器，利用 Chrome DevTools Protocol (CDP) 注入实现。
## 演示
### 视频演示
### 截图
| 替换前 | 替换后 |
|--------|-------|
|  |  |
DOM 中的地址被替换 + 二维码被替换为狗的图片。
## 分析
- [VirusTotal](https://www.virustotal.com/gui/file/795d2c26eeb66b365c15659d7811bddd7422569402a4a7b4f87beda5389a9e5c/detection)
- [Hybrid Analysis](https://hybrid-analysis.com/sample/795d2c26eeb66b365c15659d7811bddd7422569402a4a7b4f87beda5389a9e5c)
## 工作原理
传统的剪贴板劫持工具会监控系统剪贴板。而此工具则直接注入到浏览器中：
1. **连接** - Rust 应用程序连接到浏览器的 CDP WebSocket (端口 9222)
2. **注入** - 通过 `Runtime.evaluate` 和 `Page.addScriptToEvaluateOnNewDocument` 发送 JS 负载
3. **Hook** - JS 覆盖 DOM setter 方法：
- `Text.prototype.nodeValue`
- `Element.prototype.innerHTML`
- `HTMLElement.prototype.innerText`
4. **替换** - 当任何网站使用加密货币地址更新 DOM 时，Hook 会拦截它，并在其渲染之前将其替换为您的地址
5. **扫描** - 使用低足迹的 `MutationObserver` 映射到防抖的 `TreeWalker`，以持续捕获静态内容而不会冻结布局。
6. **二维码门控与 SPA 安全** - 严格门控二维码替换：复杂的二维码（密集的几何 `
标签：CDP注入, Chrome DevTools Protocol, DOM操作, JavaScript注入, MutationObserver, QR码替换, Rust, Web安全, 代理, 剪贴板劫持, 加密货币劫持, 可视化界面, 后门, 地址替换, 恶意软件, 攻击路径可视化, 数字货币盗窃, 数据可视化, 无文件攻击, 端点可见性, 网络流量审计, 自动化分析, 蓝队分析, 跨站脚本, 通知系统, 黑产, 黑客工具