惡意軟體

ChainCatcher 消息，慢霧首席信息安全官 23pds 提醒，惡意 IPA 可利用 worse_query 讀取其他應用容器，明文存儲的錢包數據可能面臨風險。

ChainCatcher 消息，慢霧確認，一款冒充 TradingView Premium 破解版本的 Windows 軟體會竊取瀏覽器憑證、加密錢包及 Telegram 資料。

ChainCatcher 消息，慢霧發布威脅情報稱，近期收到用戶反饋，一個名為 sol-live 的 GitHub 倉庫偽裝成 Solidity 面試練習項目，但其 .vscode/settings.json 中隱藏了下載並執行遠程腳本的命令，用戶啟動項目自定義終端配置後可能觸發惡意載荷。慢霧分析顯示，相關惡意載荷可收集瀏覽器登錄數據庫、錢包擴展存儲及 macOS Keychain 文件，還具備掃描並上傳本地文件、執行遠程命令、提供互動式 Shell 訪問及監控剪貼板等能力。macOS 和 Linux 環境下，需要用戶主動啟動惡意終端配置才會執行；Windows 端攻擊鏈因引號處理問題尚未確認。

ChainCatcher 消息，据慢雾安全预警，MemTensor 旗下 AI 記憶工具鏈遭到入侵。面向 LLM 與 AI Agent 的開源長期記憶庫 MemoryOS (PyPI) 以及連接 OpenClaw 運行時的官方插件 memtensor/memos-cloud-openclaw-plugin (npm) 被植入跨平台 Go 二進制，該惡意程序會在包被加載或導入時觸發執行。受影響版本包括：PyPI 上的 MemoryOS==2.34，以及 npm 插件 0.1.21、0.1.23、0.1.25。其中，受影響的 npm 插件還可能造成用戶 prompt 內容洩露。慢雾建議採取以下處置措施：卸載或降級至已知安全版本 (npm 0.1.20、PyPI 2.33)；終止 sckit 進程；封禁相關基礎設施；檢查網絡活動；並輪換受影響環境中的憑據。

ChainCatcher 消息，朝鮮黑客組織 WaterPlum 偽裝加密貨幣、AI 及 NFT 公司招聘人員，向軟體開發者和 IT 從業者投放偽裝成程式設計任務或視頻會議修復文件的惡意軟體。該組織已在 100 多個國家感染至少 3 萬台設備，並於 2025 年 12 月至 2026 年 7 月從逾 7000 個加密貨幣錢包提取資金或帳戶憑證，至少盜取 1070 萬美元。

ChainCatcher 消息，据日本警察廳聯合 FBI、ASD/ACSC、BND 及 BfV 發布警報，北朝鮮背景網路攻擊組織 "WaterPlum"（又名 Contagious Interview）以求職者為目標，偽裝成 AI、加密資產及 NFT 企業發布虛假招聘信息，誘導求職者下載含 BeaverTail、InvisibleFerret、OtterCookie 等惡意軟體的 NPM 包，進而竊取加密資產錢包信息及機密數據。截至 2026 年 7 月，該組織已在全球 100 餘個國家和地區感染逾 3 萬台設備，竊取 7000 餘件加密資產錢包信息，其控制的錢包累計收到至少約 17 億日元（約 1071 萬美元）加密資產。日本警察廳首次在國內發現並捣毀由本土 "支援者" 設立的 "筆記本農場"，北朝鮮 IT 勞工通過遠程操控支援者住所內的 PC 承接業務，相關涉案金額達數億日元。警察廳與 FBI 評估，WaterPlum 及部分北朝鮮 IT 勞工均受朝鮮勞動中央委員會軍需工業部 313 總局統一指揮，所獲收益直接流入北朝鮮國家資金池。警方提醒 IT 技術者及企業發注方提高警惕，避免在未經核實的環境中執行第三方代碼。

ChainCatcher 消息，据 Cointelegraph 報導，Chainalysis 報告顯示，過去 12 個月攻擊者在公共區塊鏈上存儲惡意軟體指令或基礎設施資訊的次數激增 420%，國家背景黑客每季度貢獻約三分之二的新增活動。Chainalysis 將此前未歸因的 Tron、Aptos 與 BNB Smart Chain 活動關聯至朝鮮背景組織 UNC5342。報告指出，Tron 與 Aptos 交易中的編碼指針將受感染設備導向同一筆 BSC 交易，其中包含加密的伺服器地址與配置數據，用於連接遠程訪問和數據竊取基礎設施。公共區塊鏈上的資訊在域名、伺服器或代碼倉庫被關閉後仍可訪問，提升了惡意軟體活動的持久性。2025 年朝鮮黑客曾使用類似技術 EtherHiding 將竊幣代碼植入智能合約。此外，自 2025 年 7 月以來惡意區塊鏈寫入量增長 440%，當時高容量開源中國 AI 模型開始具備生成惡意代碼的能力。Chainalysis 網路犯罪研究負責人 Eric Jardine 表示發現明確的時間點關聯，但無法證明攻擊者使用了這些模型。Chainalysis 還識別出疑似與伊朗情報部有關聯的威脅行為者，將編碼命令與控制路由數據寫入比特幣區塊鏈，並向與中本聰有歷史關聯的知名地址發送小額付款，該地址與攻擊者無關，僅作為受感染設備獲取更新指令的永久公共位置。

ChainCatcher 消息，網路安全公司 Hudson Rock 披露，流媒體服務 HBO Max 的 Reddit 認證帳號於本月早些時候遭黑客劫持，並在約 48 小時內投放了 108 條惡意廣告。這些廣告以不存在的 HBO Max 原生 macOS 應用為誘餌，誘導用戶打開終端或 PowerShell 粘貼惡意命令，該手法被稱為 ClickFix。研究人員將該行動命名為 PasteSwitch，其投遞系統會根據訪問者設備與所宣傳軟體自適應調整。已觀測到的 Mac 端載荷包括 MacSync 與 Atomic macOS（AMOS）資訊竊取木馬，目標涵蓋瀏覽器憑據、Telegram 資料、Apple Notes、已保存密碼及加密貨幣錢包助記詞。惡意軟體還利用幣安智能鏈合約作為可變 C2 地址投遞點，並關聯到替換剪貼板錢包地址的加密貨幣剪貼板劫持程式。據 Malwarebytes 稱，Reddit 管理員在收到舉報後已暫停相關廣告並展開安全調查。報告未說明帳號遭入侵的具體方式及受害者數量，也未發現 HBO Max 流媒體服務本身被攻破的證據。此前 ClickFix 手法已多次被用於針對加密貨幣用戶的攻擊，包括約 2000 個被入侵的 WordPress 網站及偽裝 CAPTCHA 的惡意活動。

ChainCatcher 消息，据慢雾監測，一個自至少 2025 年 5 月起活躍的巴西銀行惡意軟體行動 REF9334 近日被披露。其 KREMLIN 惡意軟體生態使用多階段加載器和惡意瀏覽器擴展竊取憑證、會話令牌和敏感數據。惡意擴展可通過繞過 Chromium 完整性機制，包括 Secure Preferences、HMAC 和 App-Bound 加密哈希，在未經用戶批准的情況下安裝到 Chrome 和 Edge 中。該行動還使用以太坊智能合約作為"死信解析器"，動態更新 C2 端點和載荷托管位置。在註冊網絡 Canary 域名後，分析人員觀察到 1515 台受感染主機簽到，其中 98.75% 位於巴西。慢雾建議安全團隊監控相關惡意軟體、瀏覽器擴展活動及與該行動相關的基礎設施。

ChainCatcher 消息，据 Cointelegraph 報導，網絡安全公司 Morphisec 披露，一款偽裝成 Anthropic 旗下"Claude Opus 5 Free Desktop"的假冒桌面應用正被用於傳播 Windows 惡意軟體 RevStealer。該軟體可竊取超過 50 種加密貨幣錢包數據，同時還會收集瀏覽器密碼、Cookie、VPN 配置、消息記錄及截圖等敏感信息。RevStealer 具備反檢測機制，會在執行前對目標設備進行環境檢測，若發現調試或虛擬環境特徵則停止運行。此外，俄羅斯網絡安全公司卡巴斯基也披露了另一針對加密投資者的新型惡意軟體框架 OkoBot，可收割錢包文件、注入惡意擴展並捕獲錢包應用窗口以盜取資產。

ChainCatcher 消息，据安全公司 Huntress 披露，黑客透過偽造 Google Docs 文件、GitHub 托管惡意文件及仿冒 Claude.ai 頁面，向加密貨幣用戶傳播竊密惡意軟體。攻擊者在社交平台 X 上偽裝成 CoinDesk 高級員工，以邀請參加線上會議為由誘導受害者打開含惡意代碼的 Google Docs 文檔，進而引導用戶自行安裝惡意程序。Mac 用戶面臨 Atomic macOS Stealer（AMOS）威脅，可竊取瀏覽器密碼、加密錢包數據及 Telegram 文件；Windows 用戶則被推送偽造的 Google API Connector 更新，安裝後植入 NetSupport RAT 及仿冒 Ledger 硬體錢包應用。此外，黑客還在 Bing 等搜尋引擎投放虛假廣告，誘導用戶訪問仿冒 Claude.ai 頁面並執行惡意命令，相關惡意程序 MacSync 和 SectopRAT 可竊取 Cookie、保存密碼、助記詞及支付卡信息。安全公司 Socket 亦同期發現 16 款針對 Chrome 和 Edge 的惡意擴展，可清空 EVM、Solana 及 Tron 錢包資產。

ChainCatcher 消息，加密項目 Refi Hub 聯合創始人 Numa Lunah 表示，自己因使用 Claude 聊天窗口提供的下載鏈接安裝轉錄應用而遭黑客攻擊。該鏈接指向仿冒網站，並捆綁惡意軟體，執行後試圖竊取其設備中的全部信息。Numa Lunah 稱，自己清除並重裝了涉事筆記本電腦，未發現敏感信息外洩。隨後，他在備份中發現受污染的 Claude Code 技能文件 SKILL.md，該文件偽裝成其本人編寫的風格指南，並包含每次加載時重新下載惡意軟體、竊取憑證的指令。Microsoft Defender Experts 曾警告，攻擊者已從搜索引擎優化投毒轉向大語言模型回答投毒，相關手段包括推薦攻擊者控制的下載鏈接、AI 品牌仿冒安裝程序，以及受污染的代碼庫和代理技能。加密行業從業者可能持有助記詞、私鑰文件、熱錢包 JSON、具備提現權限的交易所 API 密鑰和部署者密鑰等不可撤銷憑證。

ChainCatcher 消息，慢霧安全團隊近日披露，發現一個冒充 "Qwen 3.8 27B 本地量化模型" 的惡意 GitHub 倉庫。該倉庫標稱模型文件應超過 16GB，而實際下載內容僅約 487KB，內含偽裝文件、LuaJIT 解釋器及經過混淆的 Lua 腳本。慢霧強調，Qwen 官方項目未被入侵。慢霧分析指出，該惡意程序運行後會收集主機信息、截取螢幕並發送至攻擊者的 C2 伺服器；當硬編碼伺服器失效時，還會從 Polygon 鏈上合約讀取備用 C2 地址，攻擊者可通過鏈上交易輪換基礎設施。後續載荷可竊取瀏覽器登錄信息、Cookie、歷史記錄、郵箱、WinSCP、Steam 憑證，以及加密錢包相關文件和擴展數據。慢霧還發現，至少 23 個 GitHub 倉庫和 29 個類似壓縮包使用了相同的 Lua 投遞鏈。

ChainCatcher 消息，網路安全公司 Check Point Research 發現，StopAndProtect 勒索軟體行動利用近 2000 個遭入侵 WordPress 網站傳播惡意軟體、竊取數據、監控受害者並部署勒索軟體。該行動於 5 月中旬被發現。截至 7 月 24 日，該行動已入侵超過 6000 個獨立 IP 地址，其中美國有 1852 個，俄羅斯和印度各有 630 個。遭入侵網站還被用於托管惡意軟體、發送指令，並存儲被竊文件、截圖和活動日誌。攻擊者透過虛假 CAPTCHA 誘導 Windows 用戶運行 PowerShell 命令，進而竊取憑證和加密貨幣錢包助記詞，並透過網路及 USB 設備擴散。研究人員收集到超過 3.1 萬張截圖及 700 多個數據壓縮包，並認為攻擊者可能曾誤感染自身。

ChainCatcher 消息，据 CNA 報導，新加坡警察部隊（SPF）和新加坡網絡安全局（CSA）表示，一起涉及虛假招聘信息和被入侵軟件系統的加密貨幣詐騙案造成 1,180 萬美元的損失。該詐騙團夥在 LinkedIn 上冒充加密公司招聘人員、使用偽造域名發郵件、進行視頻面試、誘導受害者在公司設備上下載惡意軟件完成"技術測試"，從而竊取會話 tokens、繞過多因素認證，並最終轉移加密貨幣。

ChainCatcher 消息，据 Cointelegraph 報導，網路安全公司 BCA LTD 創始人 Mauro Eldritch 與 Telefónica Tech 網路威脅情報分析師 Heiner García 聯合搭建虛假加密初創公司 "Ballena Azul"，成功誘使疑似朝鮮 IT 工人在受控虛擬桌面環境中工作長達五週，並全程監控其行為。調查顯示，相關工人使用的外部伺服器與此前分發 InvisibleFerret、BeaverTail 及 OtterCookie 等惡意軟體的朝鮮網路行動基礎設施存在關聯；工人還大量依賴 ChatGPT 輔助編程、Google Gemini 偽造身份文件。研究人員指出，朝鮮 IT 工人透過偽造美國身份獲取遠程工作，所得薪資最終流向平壤政權的大規模殺傷性武器項目，美國財政部數據顯示，此類計畫 2024 年為朝鮮創收近 8 億美元。

ChainCatcher 消息，微軟威脅情報在 X 平台發文稱，發現一批被入侵的網站集群正在使用 ClickFix 和 EtherHiding 技術傳播惡意軟體，攻擊活動每天針對全球數千台企業及消費者設備發起攻擊。攻擊者透過注入 Base64 編碼 JavaScript 聯繫 BNB 智能鏈（BNB Smart Chain）RPC 網關，獲取由智能合約儲存的下一階段指令，由於合約內容僅部署者錢包可修改，傳統下架手段難以應對。攻擊以虛假驗證碼誘騙用戶打開運行對話框，粘貼剪貼板內容並執行攻擊者命令，同時涉及 conhost、cmd、PowerShell、mshta 等多種系統工具濫用和命令混淆技術。成功執行後可能導致憑證暴露、持久化建立、橫向移動乃至勒索軟體攻擊。微軟建議企業啟用 Defender 多層防護、限制命令行工具、啟用 PowerShell 腳本日誌記錄，並提醒用戶切勿將來源不明的命令粘貼至運行窗口或終端執行。

ChainCatcher 消息，SlowMist 發文稱，近期新發現一項針對 Web3 從業者的招聘詐騙活動。攻擊者冒充招聘人員，誘導受害者安裝名為 "Relay" 的 AI 會議軟體，實際為資訊竊取惡意程式。該惡意軟體同時針對 macOS 和 Windows 使用者，可竊取瀏覽器憑證、加密錢包相關資料、Keychain 資料、Telegram 會話等敏感資訊。SlowMist 已完成樣本分析並披露了此次攻擊鏈的運作方式。SlowMist 提醒，在參與線上面試或招聘流程時，應謹慎安裝陌生軟體，避免運行未經驗證的應用，並留意異常安裝請求或系統密碼提示。

ChainCatcher 消息，据 Crypto.news 報導，與朝鮮有關聯的黑客組織 BlueNoroff 利用虛假的 Zoom 和 Microsoft Teams 會議來分析加密貨幣用戶，然後再投放惡意軟體。黑客先控制受害者信任的加密行業聯絡人帳號，然後通過 Calendly 等發送看似正常的會議連結，指向假冒 Zoom/Teams 網域。用戶進入假會議頁面後，頁面悄悄掃描瀏覽器中的錢包，根據錢包價值決定是否繼續攻擊。假會議中會要求"更新 Zoom/Teams"或運行命令，實際下載惡意軟體（支持 Windows 和 macOS）。惡意軟體會竊取瀏覽器金鑰、系統數據和 Telegram 會話。

ChainCatcher 消息，据安全机构慢雾，惡意 TRAE IDE 擴展 juannegro.solidity 偽裝成 Solidity 插件，並作為跨平台惡意軟體投遞器。該擴展會在 IDE 啟動後自動執行並建立持久化，還使用以太坊智能合約存儲和獲取動態 C2 配置，使攻擊者無需重新發布擴展即可更新 C2 端點和載荷。該擴展雖已從 Open VSX 移除，但截至 7 月 18 日仍可透過 TRAE marketplace 獲取，已安裝用戶應立即刪除並檢查系統是否受損。