深圳天生(Procolored)打印机官方驱动被发现携带后门 疑似使用的U盘被感染病毒
山外的鸭子哥
中国深圳打印机公司天生智能 (Procolored) 日前被发现提供的官方驱动程序携带病毒，如果你在过去半年内下载过天生打印机驱动，则应该立即使用杀毒软件全盘扫描，如果可以的话最好直接重装系统并对历史文件进行检查。
最初 YouTube 网友 Cameron Coward 在测试 Procolored UV 打印机时从附带的 USB 驱动器安装配套软件结果被杀毒软件报警，该杀毒软件发现其 USB 驱动器包括蠕虫病毒和名为 Foxif 的木马病毒。
网友向天生公司报告问题后，该公司称这是杀毒软件的误报因此并未处理，但网友并不认可天生打印机的回复，于是在 Reddit 论坛上向安全专家求助，相关帖子引起安全公司 G-Data 的关注。
G-Data 检查发现天生打印机驱动程序多数托管在 MEGA NZ 网盘上，且这些驱动程序的更新时间在 2023 年 10 月左右，G-Data 经过检查发现天生托管在 MEGA NZ 上的驱动程序同样携带病毒。
进一步分析后 G-Data 发现这些驱动程序包含两类病毒，第一类是 Win32.Backdoor.XRedRAT.A 后门程序，第二类是基于.NET 编写的加密货币窃取程序，但这些后门程序主要用途都是用来劫持剪切板窃取加密货币的，尤其是当用户复制加密货币地址准备转账时，后门程序会将其替换为攻击者控制的加密货币钱包地址。
分析这些加密货币钱包地址则可以发现截至 2024 年 3 月 3 日停止活动前 (该病毒此前已经处于不活跃状态) 合计收到 9.3 个比特币，价值约 10 万美元 (按收到比特币时计价)，G-Data 也联系天生公司进行反馈。
天生打印机回应称已在 2025 年 5 月 8 日删除这些驱动程序并对所有文件重新进行扫描，至于被感染的原因，天生解释称这些驱动程序最初都是通过 U 盘进行传输的，在这个过程中可能被感染了病毒，而被感染病毒的驱动程序则被上传到网盘供全球用户进行下载。
最后建议使用该打印机的用户仔细检查系统并扫描，我们的建议依然是如果可以最好直接重装系统确保安全，至于新的打印机驱动则需要联系天生技术支持获取，现在拿到的驱动程序应该没问题了。
