惡意軟體

ChainCatcher 消息，据慢雾安全预警，MemTensor 旗下 AI 記憶工具鏈遭到入侵。面向 LLM 與 AI Agent 的開源長期記憶庫 MemoryOS (PyPI) 以及連接 OpenClaw 運行時的官方插件 memtensor/memos-cloud-openclaw-plugin (npm) 被植入跨平台 Go 二進制，該惡意程序會在包被加載或導入時觸發執行。受影響版本包括：PyPI 上的 MemoryOS==2.34，以及 npm 插件 0.1.21、0.1.23、0.1.25。其中，受影響的 npm 插件還可能造成用戶 prompt 內容洩露。慢雾建議採取以下處置措施：卸載或降級至已知安全版本 (npm 0.1.20、PyPI 2.33)；終止 sckit 進程；封禁相關基礎設施；檢查網絡活動；並輪換受影響環境中的憑據。

ChainCatcher 消息，朝鮮黑客組織 WaterPlum 偽裝加密貨幣、AI 及 NFT 公司招聘人員，向軟體開發者和 IT 從業者投放偽裝成程式設計任務或視頻會議修復文件的惡意軟體。該組織已在 100 多個國家感染至少 3 萬台設備，並於 2025 年 12 月至 2026 年 7 月從逾 7000 個加密貨幣錢包提取資金或帳戶憑證，至少盜取 1070 萬美元。

ChainCatcher 消息，据日本警察廳聯合 FBI、ASD/ACSC、BND 及 BfV 發布警報，北朝鮮背景網路攻擊組織 "WaterPlum"（又名 Contagious Interview）以求職者為目標，偽裝成 AI、加密資產及 NFT 企業發布虛假招聘信息，誘導求職者下載含 BeaverTail、InvisibleFerret、OtterCookie 等惡意軟體的 NPM 包，進而竊取加密資產錢包信息及機密數據。截至 2026 年 7 月，該組織已在全球 100 餘個國家和地區感染逾 3 萬台設備，竊取 7000 餘件加密資產錢包信息，其控制的錢包累計收到至少約 17 億日元（約 1071 萬美元）加密資產。日本警察廳首次在國內發現並捣毀由本土 "支援者" 設立的 "筆記本農場"，北朝鮮 IT 勞工通過遠程操控支援者住所內的 PC 承接業務，相關涉案金額達數億日元。警察廳與 FBI 評估，WaterPlum 及部分北朝鮮 IT 勞工均受朝鮮勞動中央委員會軍需工業部 313 總局統一指揮，所獲收益直接流入北朝鮮國家資金池。警方提醒 IT 技術者及企業發注方提高警惕，避免在未經核實的環境中執行第三方代碼。

ChainCatcher 消息，据 Cointelegraph 報導，Chainalysis 報告顯示，過去 12 個月攻擊者在公共區塊鏈上存儲惡意軟體指令或基礎設施資訊的次數激增 420%，國家背景黑客每季度貢獻約三分之二的新增活動。Chainalysis 將此前未歸因的 Tron、Aptos 與 BNB Smart Chain 活動關聯至朝鮮背景組織 UNC5342。報告指出，Tron 與 Aptos 交易中的編碼指針將受感染設備導向同一筆 BSC 交易，其中包含加密的伺服器地址與配置數據，用於連接遠程訪問和數據竊取基礎設施。公共區塊鏈上的資訊在域名、伺服器或代碼倉庫被關閉後仍可訪問，提升了惡意軟體活動的持久性。2025 年朝鮮黑客曾使用類似技術 EtherHiding 將竊幣代碼植入智能合約。此外，自 2025 年 7 月以來惡意區塊鏈寫入量增長 440%，當時高容量開源中國 AI 模型開始具備生成惡意代碼的能力。Chainalysis 網路犯罪研究負責人 Eric Jardine 表示發現明確的時間點關聯，但無法證明攻擊者使用了這些模型。Chainalysis 還識別出疑似與伊朗情報部有關聯的威脅行為者，將編碼命令與控制路由數據寫入比特幣區塊鏈，並向與中本聰有歷史關聯的知名地址發送小額付款，該地址與攻擊者無關，僅作為受感染設備獲取更新指令的永久公共位置。

ChainCatcher 消息，網路安全公司 Hudson Rock 披露，流媒體服務 HBO Max 的 Reddit 認證帳號於本月早些時候遭黑客劫持，並在約 48 小時內投放了 108 條惡意廣告。這些廣告以不存在的 HBO Max 原生 macOS 應用為誘餌，誘導用戶打開終端或 PowerShell 粘貼惡意命令，該手法被稱為 ClickFix。研究人員將該行動命名為 PasteSwitch，其投遞系統會根據訪問者設備與所宣傳軟體自適應調整。已觀測到的 Mac 端載荷包括 MacSync 與 Atomic macOS（AMOS）資訊竊取木馬，目標涵蓋瀏覽器憑據、Telegram 資料、Apple Notes、已保存密碼及加密貨幣錢包助記詞。惡意軟體還利用幣安智能鏈合約作為可變 C2 地址投遞點，並關聯到替換剪貼板錢包地址的加密貨幣剪貼板劫持程式。據 Malwarebytes 稱，Reddit 管理員在收到舉報後已暫停相關廣告並展開安全調查。報告未說明帳號遭入侵的具體方式及受害者數量，也未發現 HBO Max 流媒體服務本身被攻破的證據。此前 ClickFix 手法已多次被用於針對加密貨幣用戶的攻擊，包括約 2000 個被入侵的 WordPress 網站及偽裝 CAPTCHA 的惡意活動。

ChainCatcher 消息，据慢雾監測，一個自至少 2025 年 5 月起活躍的巴西銀行惡意軟體行動 REF9334 近日被披露。其 KREMLIN 惡意軟體生態使用多階段加載器和惡意瀏覽器擴展竊取憑證、會話令牌和敏感數據。惡意擴展可通過繞過 Chromium 完整性機制，包括 Secure Preferences、HMAC 和 App-Bound 加密哈希，在未經用戶批准的情況下安裝到 Chrome 和 Edge 中。該行動還使用以太坊智能合約作為"死信解析器"，動態更新 C2 端點和載荷托管位置。在註冊網絡 Canary 域名後，分析人員觀察到 1515 台受感染主機簽到，其中 98.75% 位於巴西。慢雾建議安全團隊監控相關惡意軟體、瀏覽器擴展活動及與該行動相關的基礎設施。

ChainCatcher 消息，据 Cointelegraph 報導，網絡安全公司 Morphisec 披露，一款偽裝成 Anthropic 旗下"Claude Opus 5 Free Desktop"的假冒桌面應用正被用於傳播 Windows 惡意軟體 RevStealer。該軟體可竊取超過 50 種加密貨幣錢包數據，同時還會收集瀏覽器密碼、Cookie、VPN 配置、消息記錄及截圖等敏感信息。RevStealer 具備反檢測機制，會在執行前對目標設備進行環境檢測，若發現調試或虛擬環境特徵則停止運行。此外，俄羅斯網絡安全公司卡巴斯基也披露了另一針對加密投資者的新型惡意軟體框架 OkoBot，可收割錢包文件、注入惡意擴展並捕獲錢包應用窗口以盜取資產。

ChainCatcher 消息，据安全公司 Huntress 披露，黑客透過偽造 Google Docs 文件、GitHub 托管惡意文件及仿冒 Claude.ai 頁面，向加密貨幣用戶傳播竊密惡意軟體。攻擊者在社交平台 X 上偽裝成 CoinDesk 高級員工，以邀請參加線上會議為由誘導受害者打開含惡意代碼的 Google Docs 文檔，進而引導用戶自行安裝惡意程序。Mac 用戶面臨 Atomic macOS Stealer（AMOS）威脅，可竊取瀏覽器密碼、加密錢包數據及 Telegram 文件；Windows 用戶則被推送偽造的 Google API Connector 更新，安裝後植入 NetSupport RAT 及仿冒 Ledger 硬體錢包應用。此外，黑客還在 Bing 等搜尋引擎投放虛假廣告，誘導用戶訪問仿冒 Claude.ai 頁面並執行惡意命令，相關惡意程序 MacSync 和 SectopRAT 可竊取 Cookie、保存密碼、助記詞及支付卡信息。安全公司 Socket 亦同期發現 16 款針對 Chrome 和 Edge 的惡意擴展，可清空 EVM、Solana 及 Tron 錢包資產。

ChainCatcher 消息，加密項目 Refi Hub 聯合創始人 Numa Lunah 表示，自己因使用 Claude 聊天窗口提供的下載鏈接安裝轉錄應用而遭黑客攻擊。該鏈接指向仿冒網站，並捆綁惡意軟體，執行後試圖竊取其設備中的全部信息。Numa Lunah 稱，自己清除並重裝了涉事筆記本電腦，未發現敏感信息外洩。隨後，他在備份中發現受污染的 Claude Code 技能文件 SKILL.md，該文件偽裝成其本人編寫的風格指南，並包含每次加載時重新下載惡意軟體、竊取憑證的指令。Microsoft Defender Experts 曾警告，攻擊者已從搜索引擎優化投毒轉向大語言模型回答投毒，相關手段包括推薦攻擊者控制的下載鏈接、AI 品牌仿冒安裝程序，以及受污染的代碼庫和代理技能。加密行業從業者可能持有助記詞、私鑰文件、熱錢包 JSON、具備提現權限的交易所 API 密鑰和部署者密鑰等不可撤銷憑證。

ChainCatcher 消息，慢霧安全團隊近日披露，發現一個冒充 "Qwen 3.8 27B 本地量化模型" 的惡意 GitHub 倉庫。該倉庫標稱模型文件應超過 16GB，而實際下載內容僅約 487KB，內含偽裝文件、LuaJIT 解釋器及經過混淆的 Lua 腳本。慢霧強調，Qwen 官方項目未被入侵。慢霧分析指出，該惡意程序運行後會收集主機信息、截取螢幕並發送至攻擊者的 C2 伺服器；當硬編碼伺服器失效時，還會從 Polygon 鏈上合約讀取備用 C2 地址，攻擊者可通過鏈上交易輪換基礎設施。後續載荷可竊取瀏覽器登錄信息、Cookie、歷史記錄、郵箱、WinSCP、Steam 憑證，以及加密錢包相關文件和擴展數據。慢霧還發現，至少 23 個 GitHub 倉庫和 29 個類似壓縮包使用了相同的 Lua 投遞鏈。

ChainCatcher 消息，網路安全公司 Check Point Research 發現，StopAndProtect 勒索軟體行動利用近 2000 個遭入侵 WordPress 網站傳播惡意軟體、竊取數據、監控受害者並部署勒索軟體。該行動於 5 月中旬被發現。截至 7 月 24 日，該行動已入侵超過 6000 個獨立 IP 地址，其中美國有 1852 個，俄羅斯和印度各有 630 個。遭入侵網站還被用於托管惡意軟體、發送指令，並存儲被竊文件、截圖和活動日誌。攻擊者透過虛假 CAPTCHA 誘導 Windows 用戶運行 PowerShell 命令，進而竊取憑證和加密貨幣錢包助記詞，並透過網路及 USB 設備擴散。研究人員收集到超過 3.1 萬張截圖及 700 多個數據壓縮包，並認為攻擊者可能曾誤感染自身。

ChainCatcher 消息，据 CNA 報導，新加坡警察部隊（SPF）和新加坡網絡安全局（CSA）表示，一起涉及虛假招聘信息和被入侵軟件系統的加密貨幣詐騙案造成 1,180 萬美元的損失。該詐騙團夥在 LinkedIn 上冒充加密公司招聘人員、使用偽造域名發郵件、進行視頻面試、誘導受害者在公司設備上下載惡意軟件完成"技術測試"，從而竊取會話 tokens、繞過多因素認證，並最終轉移加密貨幣。

ChainCatcher 消息，据 Cointelegraph 報導，網路安全公司 BCA LTD 創始人 Mauro Eldritch 與 Telefónica Tech 網路威脅情報分析師 Heiner García 聯合搭建虛假加密初創公司 "Ballena Azul"，成功誘使疑似朝鮮 IT 工人在受控虛擬桌面環境中工作長達五週，並全程監控其行為。調查顯示，相關工人使用的外部伺服器與此前分發 InvisibleFerret、BeaverTail 及 OtterCookie 等惡意軟體的朝鮮網路行動基礎設施存在關聯；工人還大量依賴 ChatGPT 輔助編程、Google Gemini 偽造身份文件。研究人員指出，朝鮮 IT 工人透過偽造美國身份獲取遠程工作，所得薪資最終流向平壤政權的大規模殺傷性武器項目，美國財政部數據顯示，此類計畫 2024 年為朝鮮創收近 8 億美元。

ChainCatcher 消息，微軟威脅情報在 X 平台發文稱，發現一批被入侵的網站集群正在使用 ClickFix 和 EtherHiding 技術傳播惡意軟體，攻擊活動每天針對全球數千台企業及消費者設備發起攻擊。攻擊者透過注入 Base64 編碼 JavaScript 聯繫 BNB 智能鏈（BNB Smart Chain）RPC 網關，獲取由智能合約儲存的下一階段指令，由於合約內容僅部署者錢包可修改，傳統下架手段難以應對。攻擊以虛假驗證碼誘騙用戶打開運行對話框，粘貼剪貼板內容並執行攻擊者命令，同時涉及 conhost、cmd、PowerShell、mshta 等多種系統工具濫用和命令混淆技術。成功執行後可能導致憑證暴露、持久化建立、橫向移動乃至勒索軟體攻擊。微軟建議企業啟用 Defender 多層防護、限制命令行工具、啟用 PowerShell 腳本日誌記錄，並提醒用戶切勿將來源不明的命令粘貼至運行窗口或終端執行。

ChainCatcher 消息，SlowMist 發文稱，近期新發現一項針對 Web3 從業者的招聘詐騙活動。攻擊者冒充招聘人員，誘導受害者安裝名為 "Relay" 的 AI 會議軟體，實際為資訊竊取惡意程式。該惡意軟體同時針對 macOS 和 Windows 使用者，可竊取瀏覽器憑證、加密錢包相關資料、Keychain 資料、Telegram 會話等敏感資訊。SlowMist 已完成樣本分析並披露了此次攻擊鏈的運作方式。SlowMist 提醒，在參與線上面試或招聘流程時，應謹慎安裝陌生軟體，避免運行未經驗證的應用，並留意異常安裝請求或系統密碼提示。

ChainCatcher 消息，据 Crypto.news 報導，與朝鮮有關聯的黑客組織 BlueNoroff 利用虛假的 Zoom 和 Microsoft Teams 會議來分析加密貨幣用戶，然後再投放惡意軟體。黑客先控制受害者信任的加密行業聯絡人帳號，然後通過 Calendly 等發送看似正常的會議連結，指向假冒 Zoom/Teams 網域。用戶進入假會議頁面後，頁面悄悄掃描瀏覽器中的錢包，根據錢包價值決定是否繼續攻擊。假會議中會要求"更新 Zoom/Teams"或運行命令，實際下載惡意軟體（支持 Windows 和 macOS）。惡意軟體會竊取瀏覽器金鑰、系統數據和 Telegram 會話。

ChainCatcher 消息，据安全机构慢雾，惡意 TRAE IDE 擴展 juannegro.solidity 偽裝成 Solidity 插件，並作為跨平台惡意軟體投遞器。該擴展會在 IDE 啟動後自動執行並建立持久化，還使用以太坊智能合約存儲和獲取動態 C2 配置，使攻擊者無需重新發布擴展即可更新 C2 端點和載荷。該擴展雖已從 Open VSX 移除，但截至 7 月 18 日仍可透過 TRAE marketplace 獲取，已安裝用戶應立即刪除並檢查系統是否受損。

ChainCatcher 消息，据 Bits.media 報導，卡巴斯基安全研究人員發現新的惡意軟體 OkoBot，通過約 20 個模組竊取加密錢包助記詞和憑證。攻擊者利用 ClickFix 社會工程學技術誘騙用戶運行惡意命令，並通過偽裝成 SQL Server Management Studio 等合法工具的 GitHub 倉庫傳播。OkoBot 的模組包括：SeedHunter 注入 Trezor 和 Ledger 等硬體錢包，在恢復助記詞時顯示虛假介面；MC Keylogger 記錄鍵盤和剪貼板活動；OkoSpyware 追蹤錢包密碼並錄製視窗視頻。一旦攻擊者獲得助記詞，即可完全控制受害者的加密資產，資金幾乎無法追回。卡巴斯基表示，OkoBot 已存在超過一年，多數受害者分布於巴西、越南、加拿大、墨西哥和土耳其。攻擊者還對俄羅斯和獨聯體國家的 IP 地址實施了地理封鎖。

ChainCatcher 消息，美國聯邦檢方起訴一名 21 歲佛羅里達州男子 Zyaire Wilkins，指控其於 2024 年 5 月至 2026 年 2 月期間，與同夥將竊取加密資產的惡意軟體植入至少 8 款遊戲，通過遊戲平台傳播，導致約 8000 台設備感染、約 80 個加密錢包被盜，涉案金額超過 22 萬美元。起訴文件顯示，涉案遊戲包括 BlockBlasters、Chemia、Dashverse、DashFPS、Lampy、Lunara、PirateFi 和 Tokenova。其中部分遊戲此前已因存在安全風險被 Steam 下架。調查人員稱，嫌疑人通過 Discord、Telegram、X 和 LinkedIn 等平台推廣這些遊戲，誘導用戶下載安裝，惡意軟體隨後竊取受害者敏感信息，並盜取加密錢包資產。FBI 表示，執法部門通過鏈上資金流向分析及數字支付記錄鎖定嫌疑人身份。調查發現，其關聯加密錢包曾在加密禮品卡平台 Bitrefill 購買逾 150 張禮品卡，包括 Uber Eats 禮品卡，最終幫助調查人員確認其電話號碼及住址。目前，該案件已在美國華盛頓西區聯邦地區法院提起訴訟。

ChainCatcher 消息，据 FinanceFeeds 報導，安全研究人員發現一種針對 macOS 設備的信息竊取惡意軟體正在攻擊加密用戶。該軟體可通過劫持 Telegram Desktop 會話、竊取密碼及錢包資料庫等方式，進一步控制用戶帳戶並盜取數位資產。目前受影響的錢包和應用包括 Exodus、Atomic、Electrum、Wasabi、Monero 等軟體錢包。該惡意軟體能夠從 macOS Keychain、Safari Cookie、Apple Notes、Telegram Desktop 以及多個加密錢包相關資料庫中提取敏感信息，包括登錄憑證、已認證會話檔案、錢包數據和瀏覽器擴展信息。安全分析指出，該攻擊鏈的危險之處在於其並非依賴單一錢包漏洞，而是通過收集設備上的多類數據，將設備入侵、帳戶接管、錢包破解和助記詞竊取串聯起來。其中，Telegram Desktop 會話成為重點目標。攻擊者可複製已認證的 Telegram 本地會話數據，並在另一台 Mac 設備上恢復登錄，無需輸入手機號碼、驗證碼或 Telegram 雙重驗證密碼。這意味著 Telegram 2FA 在該攻擊場景下無法提供完整保護，因為攻擊者並非進行新登錄，而是在利用已經信任的本地會話。對於加密用戶而言，風險進一步擴大。由於 Telegram 廣泛用於交易所客服、項目社區、OTC 交易以及錢包溝通，一旦攻擊者獲得用戶會話權限，可能冒充受害者身份、讀取私密聊天、定位資產信息，甚至向聯絡人傳播惡意鏈接。