一个伪装成“Qwen 27B本地量化模型”的恶意GitHub仓库被发现包含批处理文件、重命名的LuaJIT解释器，以及伪装成cert.txt的混淆Lua脚本，整个软件包大小约为487KB；然而，正常的Q4_K_M 27B模型权重应超过16GB。SlowMist表示，该恶意软件会收集主机信息、截取屏幕截图，并将数据上传至C2服务器。如果预设服务器不可用，它会通过Polygon合约调用eth_call来获取备用C2地址，从而允许攻击者通过链上交易轮换基础设施。后续载荷被归因于StealC，可针对浏览器登录信息、Cookie、浏览历史、Chrome应用绑定加密、电子邮件、WinSCP和Steam凭据，以及加密货币钱包文件和浏览器扩展数据。SlowMist表示，已发现23个包含29个类似恶意压缩包的GitHub仓库。