恶意软件

ChainCatcher 消息，SlowMist 发文称，近期新发现一项针对 Web3 从业者的招聘诈骗活动。攻击者冒充招聘人员，诱导受害者安装名为 “Relay” 的 AI 会议软件，实际为信息窃取恶意程序。该恶意软件同时针对 macOS 和 Windows 用户，可窃取浏览器凭证、加密钱包相关数据、Keychain 数据、Telegram 会话等敏感信息。SlowMist 已完成样本分析并披露了此次攻击链的运作方式。SlowMist 提醒，在参与线上面试或招聘流程时，应谨慎安装陌生软件，避免运行未经验证的应用，并留意异常安装请求或系统密码提示。

ChainCatcher 消息，据 Crypto.news 报道，与朝鲜有关联的黑客组织 BlueNoroff 利用虚假的 Zoom 和 Microsoft Teams 会议来分析加密货币用户，然后再投放恶意软件。黑客先控制受害者信任的加密行业联系人账号，然后通过 Calendly 等发送看似正常的会议链接，指向假冒 Zoom/Teams 域名。用户进入假会议页面后，页面悄悄扫描浏览器中的钱包，根据钱包价值决定是否继续攻击。假会议中会要求“更新 Zoom/Teams”或运行命令，实际下载恶意软件（支持 Windows 和 macOS）。恶意软件会窃取浏览器密钥、系统数据和 Telegram 会话。

ChainCatcher 消息，据安全机构慢雾，恶意 TRAE IDE 扩展 juannegro.solidity 伪装成 Solidity 插件，并作为跨平台恶意软件投递器。该扩展会在 IDE 启动后自动执行并建立持久化，还使用以太坊智能合约存储和获取动态 C2 配置，使攻击者无需重新发布扩展即可更新 C2 端点和载荷。该扩展虽已从 Open VSX 移除，但截至 7 月 18 日仍可通过 TRAE marketplace 获取，已安装用户应立即删除并检查系统是否受损。

ChainCatcher 消息，据 Bits.media 报道，卡巴斯基安全研究人员发现新的恶意软件 OkoBot，通过约 20 个模块窃取加密钱包助记词和凭证。攻击者利用 ClickFix 社会工程学技术诱骗用户运行恶意命令，并通过伪装成 SQL Server Management Studio 等合法工具的 GitHub 仓库传播。 OkoBot 的模块包括：SeedHunter 注入 Trezor 和 Ledger 等硬件钱包，在恢复助记词时显示虚假界面；MC Keylogger 记录键盘和剪贴板活动；OkoSpyware 追踪钱包密码并录制窗口视频。 一旦攻击者获得助记词，即可完全控制受害者的加密资产，资金几乎无法追回。卡巴斯基表示，OkoBot 已存在超过一年，多数受害者分布于巴西、越南、加拿大、墨西哥和土耳其。攻击者还对俄罗斯和独联体国家的 IP 地址实施了地理封锁。

ChainCatcher 消息，美国联邦检方起诉一名 21 岁佛罗里达州男子 Zyaire Wilkins，指控其于 2024 年 5 月至 2026 年 2 月期间，与同伙将窃取加密资产的恶意软件植入至少 8 款游戏，通过游戏平台传播，导致约 8000 台设备感染、约 80 个加密钱包被盗，涉案金额超过 22 万美元。 起诉文件显示，涉案游戏包括 BlockBlasters、Chemia、Dashverse、DashFPS、Lampy、Lunara、PirateFi 和 Tokenova。其中部分游戏此前已因存在安全风险被 Steam 下架。调查人员称，嫌疑人通过 Discord、Telegram、X 和 LinkedIn 等平台推广这些游戏，诱导用户下载安装，恶意软件随后窃取受害者敏感信息，并盗取加密钱包资产。 FBI 表示，执法部门通过链上资金流向分析及数字支付记录锁定嫌疑人身份。调查发现，其关联加密钱包曾在加密礼品卡平台 Bitrefill 购买逾 150 张礼品卡，包括 Uber Eats 礼品卡，最终帮助调查人员确认其电话号码及住址。目前，该案件已在美国华盛顿西区联邦地区法院提起诉讼。

ChainCatcher 消息，据 FinanceFeeds 报道，安全研究人员发现一种针对 macOS 设备的信息窃取恶意软件正在攻击加密用户。该软件可通过劫持 Telegram Desktop 会话、窃取密码及钱包数据库等方式，进一步控制用户账户并盗取数字资产。目前受影响的钱包和应用包括 Exodus、Atomic、Electrum、Wasabi、Monero 等软件钱包。该恶意软件能够从 macOS Keychain、Safari Cookie、Apple Notes、Telegram Desktop 以及多个加密钱包相关数据库中提取敏感信息，包括登录凭证、已认证会话文件、钱包数据和浏览器扩展信息。安全分析指出，该攻击链的危险之处在于其并非依赖单一钱包漏洞，而是通过收集设备上的多类数据，将设备入侵、账户接管、钱包破解和助记词窃取串联起来。其中，Telegram Desktop 会话成为重点目标。攻击者可复制已认证的 Telegram 本地会话数据，并在另一台 Mac 设备上恢复登录，无需输入手机号、验证码或 Telegram 双重验证密码。这意味着 Telegram 2FA 在该攻击场景下无法提供完整保护，因为攻击者并非进行新登录，而是在利用已经信任的本地会话。对于加密用户而言，风险进一步扩大。由于 Telegram 广泛用于交易所客服、项目社区、OTC 交易以及钱包沟通，一旦攻击者获得用户会话权限，可能冒充受害者身份、读取私密聊天、定位资产信息，甚至向联系人传播恶意链接。

ChainCatcher 消息，微软公司威胁情报团队公布一款自 2026 年 2 月起活跃的 Windows 加密剪贴板木马威胁，该恶意软件结合“蠕虫式传播+剪贴板劫持+Tor 匿名通信”，针对数字资产用户实施攻击。

ChainCatcher 消息，Microsoft Security Blog 发文称，微软安全研究团队发现一种名为 Crypto Clipper 的新型加密货币窃取木马。该恶意软件自 2026 年 2 月起活跃，主要通过 USB 设备传播恶意 .lnk 快捷方式感染 Windows 用户。Crypto Clipper 内置 Tor 客户端，通过本地 SOCKS5 代理连接 .onion 隐藏服务，实现隐蔽 C2 通信。其主要功能包括高频监控剪贴板、窃取助记词和私钥、替换加密货币转账地址、截取屏幕截图并上传，以及接收远程代码执行指令。微软表示，该恶意软件具备蠕虫传播能力，会自动隐藏 U 盘内原始文档并生成同名恶意快捷方式，同时创建计划任务实现持久化控制。研究人员将其检测为 Trojan:Win32/CryptoBandits.A，并建议用户禁用可移动设备自动运行、限制脚本解释器执行权限，并重点监控 localhost:9050 Tor 代理流量及异常剪贴板访问行为。

ChainCatcher 消息，据慢雾披露，发现 Shai-Hulud Hades 新变种正在攻击 PyPI。恶意包会投放 .pth 文件，在 Python 启动时自动执行，并检测本地是否安装 Bun；若未安装，则从 GitHub Releases 下载官方 Bun 二进制文件，再执行多层混淆 JavaScript 载荷，用于窃取 GitHub、npm、AWS 及云服务凭证。 慢雾称，该变种与此前 Shai-Hulud 攻击使用相同 RSA 公钥和基础设施，并具备加密外传、持久化、CI/CD 注入及 GitHub Actions 注入等能力。

ChainCatcher 消息，据 Cryptopolitan 报道，一种名为 Reaper 的新型 macOS 恶意软件正通过微信和 Miro 等应用的虚假下载页面传播，目标为窃取加密货币钱包数据、浏览器密码和敏感文档。该恶意软件利用 AppleScript URL 触发系统自带的脚本编辑器，通过 ASCII 艺术和空格隐藏恶意代码。用户点击运行按钮后，伪造的 Apple 安全更新弹窗会诱导受害者输入电脑密码。 Reaper 针对 Ledger Live、Trezor Suite 和 Exodus 等桌面加密应用，修改钱包内部代码以拦截未来交易并重定向资金。同时从 Chrome、Firefox 和 Edge 中窃取保存的凭证，从桌面和文档文件夹中提取 .docx、.pdf、.wallet 等文件。Reaper 还会安装伪装成 Google 软件更新目录的后门以实现持久化攻击。安全专家建议用户核实下载链接，勿在意外弹窗中输入密码，若网站要求打开脚本编辑器应立即关闭页面。

ChainCatcher 消息，据慢雾监测，一种名为 IronWorm 的新型 Rust 供应链恶意软件活动，正通过恶意 npm 包攻击开发者环境和 Web3 生态。潜在攻击行为包括凭证窃取、钱包助记词和密码盗取、GitHub 仓库篡改、恶意包发布、CI/CD 机密外泄、基于 Tor 的命令控制以及 eBPF rootkit 隐身。安全团队应审计仓库中的回溯提交、可疑分支、意外构建钩子以及 claude、dependabot、renovate 或 github-actions 等自动化身份标识的提交。建议移除或废弃受影响包版本，发布干净版本，轮换所有泄露的密钥和 token，审查 GitHub Actions 构件，并从干净镜像重建可能受损的开发或 CI 系统。

ChainCatcher 消息，安全公司 Socket Security 披露，一场名为 TrapDoor 的加密货币窃取活动正在 npm、PyPI 和 Crates.io 等软件包仓库中发起主动供应链攻击。目前已发现 34 个恶意软件包和 384 个版本及构件，攻击者持续在各生态系统中推送新版本。 TrapDoor 主要针对加密货币、DeFi、AI 和安全领域的开发者，窃取钱包、SSH 密钥、云凭证、GitHub 令牌、浏览器数据、环境变量和 API 密钥。Socket 检测到恶意版本的中位检测时间为 5 分 27 秒，最快检测发生在发布后 58 秒。

ChainCatcher 消息，慢雾首席信息安全官 23pds 在 X 平台披露，node-ipc 再次遭受入侵。发布的 node-ipc 三个恶意版本（9.1.6、9.2.3、12.1）携带相同的凭证窃取负载，该包每周下载量超过 1,000 万。

ChainCatcher 消息，据 Decrypt 报道，微软威胁情报部门披露，攻击者将恶意代码植入通过 PyPI 平台分发的 Mistral AI 软件包。该恶意代码在开发者于 Linux 系统使用时自动运行，下载名为 transformers.pyz 的恶意文件并在后台执行，文件名刻意模仿广泛使用的 Hugging Face Transformers 库以混淆视听。微软指出，该恶意软件主要窃取开发者登录凭证和访问令牌，并会避开俄语系统，部分代码可随机删除位于以色列或伊朗的设备文件。此次攻击与 9 月启动的“Shai-Hulud”供应链攻击活动相关。Mistral 回应称，调查显示攻击源于被入侵的开发者设备，公司基础设施未被攻破。

ChainCatcher 消息，据区块链安全机构 SlowMist (@SlowMist_Team) 旗下威胁监控系统 MistEye 监测，一款名为 “Mini Shai-Hulud” 的高度复杂 npm 蠕虫正通过 TanStack、UiPath、DraftLab 等知名开发者项目传播。攻击者劫持 GitHub 凭证，发布伪装成合法更新的恶意软件包，并在其中植入隐藏脚本 router_init.js，在 GitHub Actions 等 CI/CD 环境中静默运行，专门窃取 CI/CD 密钥、云基础设施密钥及加密货币钱包信息，并借助 GitHub 自身基础设施进行数据外传。 SlowMist 已向客户同步相关威胁情报 (IOC)，建议使用受影响软件包的项目立即排查 CI/CD 管道中是否存在 router_init.js 文件，轮换所有已暴露的 GitHub、云服务及加密货币凭证，并持续监控开发环境中的异常后台活动。

ChainCatcher 消息，据市场消息，微软安全研究团队发现，攻击者自 2025 年底起通过发布虚假的 macOS 故障排除指南，诱导用户运行恶意终端命令，从而窃取加密钱包、iCloud 数据和浏览器保存的密码。 这些虚假指南发布在 Medium、Craft 和 Squarespace 等平台上，针对用户常见问题如释放磁盘空间或修复系统错误，诱导用户复制并粘贴恶意命令至终端，该命令会自动下载并运行恶意软件。这种名为 ClickFix 的社会工程技术绕过 macOS 的 Gatekeeper 安全机制，因为受害者是主动执行命令。 涉及的恶意软件家族包括 AMOS、Macsync 和 SHub Stealer，可窃取 Exodus、Ledger 和 Trezor 的加密钱包密钥，以及 Chrome 和 Firefox 中保存的用户名和密码。部分情况下攻击者还会删除合法钱包应用并替换为木马版本。苹果已在 macOS 26.4 版本中增加了阻止粘贴潜在恶意命令的保护功能。

ChainCatcher 消息，据 OpenSourceMalware 研究，朝鲜黑客组织 Lazarus 在 “传染性面试” 和 “TaskJacker” 等针对开发者的恶意活动中采用了新手法，将第二阶段加载器隐藏在 Git Hooks 的 pre-commit 脚本中。“传染性面试”是该组织通过伪造加密货币/DeFi 领域招聘流程，诱使开发者克隆恶意代码仓库的系列攻击活动，最终窃取加密资产和凭证。研究员建议，被要求克隆代码仓库作为面试流程一部分的开发者，应警惕此类风险，最好在隔离环境中运行，避免挂载个人浏览器配置、SSH 密钥和加密钱包。

ChainCatcher 消息，据慢雾 CISO @im23pds 在 X 平台发文披露：攻击者利用 13 个账户，向 Hugging Face 和 ClawHub 植入 575 个恶意 Skills。

ChainCatcher 消息，前端云平台 Vercel 首席执行官 Guillermo Rauch 发推表示，团队已完成深入安全调查，分析范围覆盖近 1 PB 的完整 Vercel 网络和 API 日志，远超最初 Context.ai 账户入侵事件。 调查显示，攻击者活动范围超出 Context.ai，并已在更广泛范围内分发恶意软件，目标是窃取 Vercel 等平台的账户密钥。一旦获得密钥，攻击者会快速、全面地枚举非敏感环境变量。目前采取的措施包括与 Microsoft、AWS、Wiz 等行业伙伴深化合作，共同保护更广泛的互联网生态；已通知其他疑似受害者，建议立即轮换凭证并加强安全最佳实践。

ChainCatcher 消息，据 CoinDesk 报道，据 CertiK 监测，Lazarus 集团正在针对金融科技及加密货币行业高管开展名为 Mach-O Man 的攻击行动。该操作利用 ClickFix 社交工程技术，通过发送虚假在线会议邀请，诱导受害者在 Mac 终端粘贴修复指令，从而获取公司及财务系统访问权限。 CertiK 研究员 Natalie Newson 表示，Lazarus Group 过去两周通过 Drift 和 KelpDAO 攻击已窃取超 5 亿美元。Mach-O Man 是由 Lazarus Group 下属 Chollima 部门开发的模块化 macOS 恶意软件工具包，能够在使用后自动删除以规避检测。 此外，已有攻击者通过劫持 DeFi 项目域名并替换为虚假 Cloudflare 消息的方式实施该攻击。