惡意代碼

ChainCatcher 消息，据韓聯社報導，微軟威脅情報 29 日發布的報告顯示，朝鮮黑客組織正利用人工智慧加快對韓國用戶的網絡攻擊，從定制釣魚文檔、假招聘與身份偽裝，擴展到惡意代碼開發與軟件供應鏈攻擊。微軟對 8 個朝鮮相關黑客組織的 AI 採用水平做了評估：其中 3 個已達四級中最高的"運營定型"階段，將 AI 融入日常攻擊流程；另有 4 個處於"加速"階段、1 個處於"擴展"階段。報告稱，有組織在今年 8--9 月針對不同目標定制生成逾 100 份 PDF 誘餌文檔，並出現數分鐘內批量產出數十份的情形。今年 6 月 8--12 日，還出現利用 3 家偽裝公司，向 AI、區塊鏈與網絡安全從業者發起假招聘邀約的案例。此外，微軟分析朝鮮黑客可能借助 Cursor 等 AI 程式設計工具輔助代碼生成、排錯與規避檢測；朝鮮偵察總局下屬"Onyx Sleet"（韓方稱安達利爾）與"Pearl Sleet"自 10 月下旬起，已在實戰中使用開源 AI 滲透測試框架 ARTEX。微軟認為，上述組織雖借 AI 提升了攻擊速度與效率，但尚未進入完全自主攻擊階段，並建議企業加強求職者身份核驗、釣魚防護與惡意代碼檢測。

ChainCatcher 消息，据慢雾披露，其安全人员在日常威脅情報排查中，發現 Udesk 客服系統相關腳本 udeskApi.2026-10-16.cached.js 被植入惡意加載器。該加載器通過十六進制編碼隱藏地址，異步加載遠程腳本 deeps.js（來源為 udeskqlobal[.]com，注意域名以字母 q 開頭）。該腳本會讀取頁面可訪問的 Cookie、localStorage 和 sessionStorage，並攔截表單及登錄、認證類請求，將數據發送至 udeskqlobal[.]com/c.php，攻擊者可能藉此冒用會話或接管帳戶。該數據收集行為不受目標站點規則限制，未匹配的頁面同樣可能受影響。據慢雾分析，該腳本還針對 mgbx[.]com、bikingex[.] 和 bitxex[.]io 三類站點，每 200 毫秒掃描一次充值頁面，並將識別出的充值地址替換為預設的 BTC、EVM、TRON、Solana、LTC 和 DOGE 地址。同時，腳本通過包裝剪貼板 API、替換複製按鈕和攔截複製事件，使用戶看到並複製的都是被篡改的地址。用戶若按該地址轉賬，資金將流入攻擊者地址。

ChainCatcher 消息，据慢雾披露，LiteLLM 再次遭遇供應鏈攻擊，惡意版本 litellm@1.107.0 波及 PyPI 包及 Docker 鏡像，包括 latest、main-stable 等浮動標籤。注入的惡意代碼會在 Python 啟動時自動執行，竊取雲憑證、AI API 密鑰、SSH 私鑰等敏感數據，並支持遠程代碼執行。受影響版本已被移除或替換。慢雾建議用戶避免使用 1.107.0 版本，從乾淨鏡像重建受影響環境，輪換可能洩露的憑證，並將版本固定至 1.106.2。

ChainCatcher 消息，据慢雾餘弦監測，針對 FOMO 網頁端的書籤釣魚盜幣攻擊正在出現。此類釣魚網頁會誘導用戶完成虛假人機驗證，將 JavaScript惡意代碼拖入瀏覽器收藏夾並保存為書籤。用戶隨後在該書籤上點擊 2 至 3 次後，此前登錄過的 FOMO 帳號將被攻擊者劫持，帳號內加密資產也會被立即盜走。

ChainCatcher 消息，Binance Wallet 發布安全公告 ：iPhone 使用者請檢查是否安裝過 FomoPeek 應用。幣安已注意到社群近期披露的一起安全事件。據慢霧 SlowMist 等安全公司稱，第三方應用 FomoPeek（版本 1.1-1.2）包含惡意代碼，可利用 iOS 系統漏洞獲取設備最高權限，並可能訪問設備上儲存的敏感數據，包括私鑰、助記詞、登錄憑證、聊天記錄、文件等。請注意，此類惡意軟體直接攻擊設備本身。如果攻擊成功，受影響設備上所有應用的數據都可能被訪問。請檢查以下內容：使用的是運行 iOS 26.x 或更早版本的 iPhone 或 iPad 嗎？是否安裝過 FomoPeek 應用？如果以上兩項均符合使用者情況，建議立即採取以下步驟：刪除 FomoPeek 應用，切勿重新安裝。將 iOS 系統更新至最新版本。對於使用自托管錢包的使用者：在從未安裝過該應用的設備上創建一個新錢包，並將資產轉移到新錢包地址。如果發現任何異常的資產活動，請保留受影響的設備和相關證據，並聯繫客服進行進一步調查。同時提醒所有使用者：請勿安裝來自不可信來源的應用，並保持您的設備軟體處於最新狀態。

ChainCatcher 消息，慢霧發布安全預警稱，近期收到多起 FomoPeek 使用者資產被盜報告，經與 OKX 安全團隊聯合調查發現，部分受影響使用者此前安裝或使用過 FomoPeek 1.1--1.2 版本，相關應用包含惡意代碼。慢霧稱，FomoPeek 中存在與正常業務無關的模組，其中一個包含針對 iOS 系統的內核漏洞利用框架，支持 8 種不同攻擊方式，可根據設備型號和 iOS 版本自動選擇利用方式。受影響系統包括 iOS 12 至 18.7 以及 iOS 26 至 26.1。若利用成功，應用可能突破 iOS 沙箱並訪問、解密 Keychain 數據，從而導致私鑰、助記詞、登錄憑證及其他敏感文件泄露。此外，FomoPeek 還會連接與其公開服務無關的隱藏伺服器，並可接收遠程指令。慢霧表示，其分析捕獲的明文流量顯示，相關攻擊功能目前處於啟用狀態，並會定期自動運行。慢霧建議曾安裝或使用 FomoPeek 1.1--1.2 版本的使用者立即檢查資產是否存在異常，在從未安裝過該應用的可信設備上生成全新私鑰和助記詞，並儘快將資產轉移至新帳戶，同時升級至最新 iOS 版本，不要繼續使用或重新安裝 FomoPeek。

ChainCatcher 消息，Blockaid 在 X 平台發布的安全警報，其系統已檢測到針對 Yield Yak 網站前端的攻擊。該專案的子域名 vote.yieldyak.com 被植入了 eleven drainer 惡意代碼。Blockaid 指出，此次攻擊手法與此前 Gitcoin.co 昨日遭遇的安全事件類似。

ChainCatcher 消息，慢霧首席信息安全官 23pds 發推表示，Lazarus Group 旗下 HexagonalRodent 正針對 Web3 開發者透過"高薪遠程崗位"、"知名項目招聘"等社交工程手段誘導執行惡意代碼，最終竊取用戶加密資產。2026 年 3 月 9 日，一名與 fast-draft 擴展開發者同名用戶感染 OtterCookie 惡意程序，被用於分發惡意程序。攻擊者大量使用 ChatGPT 和 Cursor 輔助實施攻擊，進一步提升偽裝性與欺騙性。

ChainCatcher 消息，据市場消息，Socket 偵測到 npm 核心包 axios 的 1.14.1 版本遭遇活躍的供應鏈攻擊。攻擊者通過注入一個惡意依賴包，向 axios 植入惡意代碼。建議使用 axios 的開發者立即固定版本，並審查項目鎖定文件。

ChainCatcher 消息，据 GoPlus Security 發布的安全警告，Silverfort 安全研究人員在 OpenClaw 的技能倉庫 ClawHub 中發現嚴重漏洞。攻擊者可通過調用內部函數 downloads:increment 繞過所有防護機制，僅憑一條 curl 請求即可將下載量在數分鐘內刷至 2 萬次以上，從而將含惡意代碼的技能推至搜索排名第一，誘導用戶或 AI Agent 自動安裝。惡意技能一旦運行，可竊取加密錢包、API 密鑰等敏感數據。目前該漏洞已在 24 小時內完成修復。GoPlus 提示用戶，高下載量不等於安全，建議使用 AgentGuard 進行安全掃描與防護。

ChainCatcher 消息，据慢霧監測，Apifox 桌面客戶端遭遇供應鏈攻擊，其官方 CDN 托管的前端腳本文件被注入高度混淆的惡意 JavaScript 代碼。受影響用戶可能面臨憑證竊取、敏感數據洩露、遠程命令執行等風險，且惡意代碼自動執行、高度隱蔽。慢霧建議用戶立即撤銷所有 Token、重置密碼、退出並重新登錄以使會話失效，阻止 *.apifox.it.com 域名，清除本地存儲，並審查 API 日誌和異常活動。

ChainCatcher 消息，慢霧餘弦 @evilcos 提醒稱，有 Web3 求職者在面試過程中遭遇惡意代碼陷阱。事件中，攻擊者冒充 @seracleofficial，要求求職者審閱並運行 Bitbucket 上的代碼。受害者克隆代碼後，程序立即掃描本地全部 .env 文件並竊取私鑰等敏感信息。慢霧方面指出，此類後門屬於典型 stealer，可收集瀏覽器保存的密碼、加密錢包助記詞與私鑰等隱私數據。專家強調，凡涉及可疑代碼審查，務必在隔離環境中操作，避免在真實設備上直接運行以致遭受攻擊。

ChainCatcher 消息，鏈上偵探 ZachXBT 披露，Steam 遊戲 BlockBlasters 包含惡意代碼，已造成約 15 萬美元加密資產損失，該遊戲已在 Steam 平台允許下載超 1 個月。

ChainCatcher 消息，慢霧 CISO @im23pds 發推提醒 ChromeV8 引擎漏洞 CVE-2025-6554 允許攻擊者透過精心構造的網頁運行惡意代碼，目前相關利用 PoC 已經公開，正在被利用，用戶需注意升級，避免釣魚攻擊導致資產損失。

ChainCatcher 消息，据官方消息，CoinMarketCap 在 X 平台發文表示，已經從網站上識別並刪除惡意代碼，團隊正在繼續調查並採取措施加強安全。此前消息，CoinMarketCap 官網出現"驗證錢包"的惡意彈窗，官方發布推文提示用戶請勿鏈接錢包。

ChainCatcher 消息，据 Cointelegraph 報導，WinterMute 推出 CrimeEnjoyor，這是一段代碼，用於警告以太坊委託合約中的惡意代碼，以保護用戶免受一種新的竊取錢包策略的侵害。

ChainCatcher 消息，据加密社區成員 Cat（@0xCat_Crypto） 披露，一個 Web3 創業項目因智能合約代碼中包含硬編碼的授權錢包地址，導致數十萬 USDT 被轉走。事件中，一名員工提交的合約代碼存在可疑，但該員工否認編寫相關代碼，稱惡意代碼源自人工智能編程助手自動生成且未經充分審查。目前，涉事錢包歸屬無法確認，代碼編寫主體也難以認定。慢霧餘弦發文表示，經初步調查，在使用 Cursor 和 Claude 3.7 模型的環境下，AI 自動補全的地址與涉事惡意地址不符，排除了 AI 代碼生成作惡的可能性。該惡意地址擁有智能合約所有者權限，導致項目方資金被完全轉出。

ChainCatcher 消息，慢霧在 X 平台發文稱，Safe 開發人員的設備被入侵，導致惡意代碼被注入前端，攻擊攔截並修改交易參數。經過快速核實，發現 Safe 前端的 js 文件背後確實存在惡意代碼，相關地址（0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516）涉及卷走 ByBit 的 15 億資產的惡意執行合約。

ChainCatcher 消息，Bybit 聯合創始人兼首席執行官 Ben Zhou 在 X 平台發布由 Sygnia 和 Verichains 提供的黑客取證報告，其中披露惡意代碼於 UTC 時間 2 月 19 日 15:29:25 被部署，特別針對 Bybit 的以太坊多簽冷錢包。

ChainCatcher 消息，數字資產錢包 TokenPocket 發布聲明，針對 2 月 14 日發生的用戶資產被黑客歸集盜取事件進行回應。經技術分析發現，受影響用戶曾下載第三方挖礦軟體"Bom"，該軟體存在未經授權訪問用戶相冊並上傳數據的惡意行為，導致用戶助記詞或私鑰洩露。TokenPocket 已與慢霧科技、GoPlusSecurity 等安全團隊展開合作，並提醒用戶立即停止使用未經驗證的第三方工具，避免通過截圖、社交平台、網盤等方式保存助記詞和私鑰。