惡意軟件

ChainCatcher 消息，据 Cointelegraph 報導，Chainalysis 報告顯示，過去 12 個月攻擊者在公共區塊鏈上存儲惡意軟體指令或基礎設施資訊的次數激增 420%，國家背景黑客每季度貢獻約三分之二的新增活動。Chainalysis 將此前未歸因的 Tron、Aptos 與 BNB Smart Chain 活動關聯至朝鮮背景組織 UNC5342。報告指出，Tron 與 Aptos 交易中的編碼指針將受感染設備導向同一筆 BSC 交易，其中包含加密的伺服器地址與配置數據，用於連接遠程訪問和數據竊取基礎設施。公共區塊鏈上的資訊在域名、伺服器或代碼倉庫被關閉後仍可訪問，提升了惡意軟體活動的持久性。2025 年朝鮮黑客曾使用類似技術 EtherHiding 將竊幣代碼植入智能合約。此外，自 2025 年 7 月以來惡意區塊鏈寫入量增長 440%，當時高容量開源中國 AI 模型開始具備生成惡意代碼的能力。Chainalysis 網路犯罪研究負責人 Eric Jardine 表示發現明確的時間點關聯，但無法證明攻擊者使用了這些模型。Chainalysis 還識別出疑似與伊朗情報部有關聯的威脅行為者，將編碼命令與控制路由數據寫入比特幣區塊鏈，並向與中本聰有歷史關聯的知名地址發送小額付款，該地址與攻擊者無關，僅作為受感染設備獲取更新指令的永久公共位置。

ChainCatcher 消息，GoPlus 中文社區在 X 平台發布預警稱，朝鮮黑客向 npm 註冊表發布了一組 26 個惡意軟體包，這些惡意軟體包都附帶一個安裝腳本 ("install.js")，該腳本會在軟體包安裝過程中自動執行，進而運行位於 "vendor/scrypt-js/version.js" 中的惡意代碼。惡意代碼會透過同一惡意 URL 下載並執行遠程訪問木馬（RAT），實施鍵盤記錄、剪貼板竊取、瀏覽器憑據收集、TruffleHog 秘密掃描 Git 倉庫和 SSH 金鑰竊取等惡意行為。此次事件與一個名為 "Famous Chollima" 的朝鮮黑客活動相關。

ChainCatcher 消息，据 Cointelegraph 報導，黑客正利用 "ClickFix" 攻擊手法竊取加密貨幣，最新兩起攻擊涉及冒充風險投資公司和劫持瀏覽器擴展程序。網絡安全公司 Moonlock Lab 報告稱，詐騙者冒充 SolidBit、MegaBit 和 Lumax Capital 等虛假 VC，通過 LinkedIn 聯繫用戶提供合作機會，然後引導其點擊虛假的 Zoom 和 Google Meet 鏈接。點擊鏈接後，用戶會被引導至帶有偽造 Cloudflare "我不是機器人"驗證框的頁面，點擊該框會將惡意命令複製到剪貼板，並提示用戶打開終端粘貼所謂的驗證碼，從而執行攻擊。Moonlock Lab 指出，這種手法讓受害者成為執行機制，繞過了安全行業的防禦措施。與此同時，黑客還通過劫持 Chrome 擴展程序 QuickLens 傳播惡意軟件。該擴展允許用戶在瀏覽器中直接運行 Google Lens 搜索，在被轉讓所有權後，新版本包含惡意腳本，可發起 ClickFix 攻擊並竊取信息。該擴展約有 7000 名用戶，被劫持後會搜索加密錢包數據和助記詞以竊取資金，還會抓取 Gmail 收件箱內容、YouTube 頻道數據以及輸入網頁表單的登錄憑證或支付信息。該擴展已被從 Chrome 網上應用店移除。ClickFix 技術自去年在黑客中流行，迫使受害者手動執行惡意負載，已影響全球數千企業及多個行業。

ChainCatcher 消息，据 Cointelegraph 報導，隸屬於 Google Cloud 的美國網絡安全公司 Mandiant 發現朝鮮關聯威脅組織正在加大針對加密貨幣和金融科技公司的社會工程攻擊。該威脅組織（代號 UNC1069）部署了七個惡意軟件集合，包括新發現的 SILENCELIFT、DEEPBREATH 和 CHROMEPUSH，旨在獲取敏感數據並竊取數字資產。攻擊者利用被入侵的 Telegram 賬戶和通過人工智能生成的深度偽造視頻進行虛假 Zoom 會議誘騙。自 2018 年以來，Mandiant 一直追蹤該組織，但人工智能的進步幫助該組織自 2025 年 11 月起擴大了惡意活動規模。在一起入侵事件中，攻擊者使用被盜的加密貨幣創始人 Telegram 賬戶發起聯繫，通過所謂的 ClickFix 攻擊誘導受害者執行含有隱藏命令的"故障排除"指令。

ChainCatcher 消息，網絡安全非營利組織 Security Alliance 警告稱，他們目前每天都會發現多起由朝鮮黑客發起的詐騙企圖，這些攻擊透過偽造的 Zoom 會議誘騙受害者上鉤。該詐騙手法是在一場"假 Zoom 通話"中誘導受害者下載惡意軟體，從而竊取包括密碼和私鑰在內的敏感資訊。安全研究員 Taylor Monahan 警告稱，這一戰術已從用戶手中掠走超過 3 億美元的資產。詐騙通常始於一個 Telegram 帳號發來的消息，而該帳號往往屬於受害者"認識的人"。由於熟人身份，受害者會放鬆警惕。隨後，對話會自然過渡到"透過 Zoom 叙叙舊"的邀請。一旦通話開始，黑客就會假裝遇到音頻問題，並發送一個所謂的"補丁文件"。當受害者打開該文件時，設備即被植入惡意軟體。隨後，黑客會以"改天再約"為由結束這場假通話。

ChainCatcher 消息，泰國官員週三宣布已成功從一名藏匿在普吉島的東歐網絡犯罪分子手中追回超過 43.2 萬美元的被盜數字資產。據當地媒體報導，領導泰國網絡犯罪調查局 (CCIB) 的蘇拉蓬·普雷姆普特中將透露"293 行動"成功繳獲並向泰國受害者返還了價值 32 萬美元的加密貨幣。據稱，該黑客部署了惡意軟件，入侵受害者的設備，以竊取身份驗證密鑰和助記詞，這些都是加密帳戶的關鍵訪問憑證。

ChainCatcher 消息，据慢霧餘弦消息，朝鮮黑客有關的木馬程序 SilentSiphon 能夠從蘋果備忘錄、Telegram、瀏覽器擴展程序中獲取數據，還能從瀏覽器和密碼管理器中獲取憑證，以及從與眾多服務相關的配置文件中獲取機密信息。用戶應提高安全防範意識，定期更新軟件版本，避免下載來源不明的應用程序，並使用可靠的安全軟件進行防護。

ChainCatcher 消息，据 Decrypt 報導，Google 威脅情報小組發現朝鮮駭客正在使用 EtherHiding 惡意軟體進行網路攻擊。該惡意軟體通過在區塊鏈智能合約中隱藏惡意代碼來實現加密貨幣盜竊，主要針對以太坊和 BNB Chain。

ChainCatcher 消息，慢霧科技首席信息安全官 23pds 在 X 平台發文稱，AMOS 竊密木馬的變種 Odyssey，正在通過推特等渠道投放虛假 AI 工具廣告，誘導用戶下載偽裝為 AI 工具客戶端的惡意軟件。它使用 AppleScript 腳本作為主要載荷，竊取系統信息、瀏覽器數據、加密貨幣錢包信息等敏感數據。

ChainCatcher 消息，据 ReversingLabs 研究人員披露，7 月發布的 NPM 包 "colortoolsv 2" 和 "mimelib 2" 利用以太坊智能合約隱藏惡意 URL，避免安全掃描。這些軟體包作為下載器運行，從智能合約中獲取命令與控制伺服器地址，再下載二階段惡意軟體，使區塊鏈流量看似合法，從而加大檢測難度。研究指出，這是首次發現以太坊智能合約被用於托管惡意命令 URL，顯示攻擊者在開源倉庫中規避檢測的策略正快速演化。

ChainCatcher 消息，据網絡安全公司 Sentinel Labs 週三發布的報告顯示，北韓黑客正在使用針對蘋果設備的新型惡意軟件，攻擊加密貨幣公司。黑客透過在 Telegram 等即時通訊應用上冒充可信人士，發送假冒的 Zoom 更新文件，實際安裝名為"NimDoor"的惡意軟件。該惡意軟件使用罕見的 Nim 編程語言編寫，能夠繞過蘋果的內存保護機制，部署信息竊取程序專門針對加密貨幣錢包和瀏覽器密碼。Nim 語言因能在 Windows、Mac 和 Linux 上無需修改即可運行，且編譯速度快、難以被檢測，正成為網絡犯罪分子的新品味。惡意軟件還包含能夠竊取 Telegram 加密本地數據庫及解密密鑰的腳本，並會在激活前等待 10 分鐘以避開安全掃描。

ChainCatcher 消息，据 Decrypt 報導，威脅情報研究公司 Cisco Talos 週三報告，朝鮮黑客通過偽裝成 Coinbase 和 Uniswap 等公司招聘人員的假面試，針對加密貨幣專業人士部署了名為"PylangGhost"的新型 Python 遠程訪問木馬，該惡意軟體與朝鮮相關著名黑客團體"Famous Chollima"（又稱"Wagemole"）有關。該惡意軟體可從超過 80 個瀏覽器擴展中竊取憑證，包括 Metamask 和 1Password 並實現持久化遠程訪問。攻擊主要針對 Windows 系統以及 macOS 用戶，Linux 系統未受當前攻擊波及。

ChainCatcher 消息，据金十報導，近日，日本安全團隊 CSIRT 揭露了 WinRAR 中的一項安全漏洞，該漏洞能夠繞過微軟 Windows 的 MarkoftheWeb（MoTW）安全機制，使得用戶在不知情的情況下，有可能執行來自網絡的惡意程序，造成嚴重安全風險，該漏洞被編號 CVE-2025-31334。為積極應對 WinRAR 安全漏洞對我關鍵基礎設施帶來的網絡安全挑戰，建議從技術層面採取以下措施：一是全面排查 WinRAR 用戶中涉該漏洞計算機網絡設備，及時安裝最新版本。二是進行 WinRAR 客戶端配置重置。三是建議 WinRAR 用戶在處理敏感數據時避免連接到不受信任的網絡。

ChainCatcher 消息，Scam Sniffer 在 X 平台發文披露，谷歌廣告出現針對加密用戶的偽造 Homebrew 惡意軟體，攻擊者使用虛假廣告誘騙受害者下載惡意軟體，這些惡意軟體旨在竊取加密錢包數據並盜取資產。

ChainCatcher 消息，Scam Sniffer 發佈安全警告，揭露了一種針對加密貨幣用戶的新型複合式詐騙手法。該詐騙分兩個主要攻擊路徑：系統感染和帳號劫持。騙子首先通過精心偽裝成知名加密貨幣 KOL 的帳號，在合法帖子下評論並誘導用戶加入所謂的"獨家投資"Telegram 群組。一旦用戶加入群組，會立即收到來自名為 OfficiaISafeguardBot 的虛假機器人的驗證請求。這些驗證通常設置極短的時間窗口，製造緊迫感。在技術層面，驗證過程會在用戶不知情的情況下向剪貼板注入惡意 PowerShell 代碼。一旦執行，將自動下載並運行可以破壞系統安全的惡意軟體。這些軟體已被 VirusTotal 標記為惡意程序，近期已造成多起私鑰被盜事件。另一種攻擊方式是誘導用戶提供 Telegram 帳號相關信息，包括手機號、登錄驗證碼和兩步驗證密碼，從而完全控制用戶的 Telegram 帳號。Scam Sniffer 提供以下安全建議：嚴禁執行來源不明的命令仔細核實官方渠道的真實性對任何帶有時間壓力的驗證請求保持警惕使用硬體錢包存儲加密資產避免運行任意代碼和安裝未知軟體永遠不要分享 Telegram 的驗證碼和兩步驗證密碼

ChainCatcher 消息，据 Cointelegraph 報導，Radiant Capital 在 12 月 6 日更新的調查報告中稱，網絡安全公司 Mandiant 已經評估，高度确信此次攻擊是由朝鮮（DPRK）附屬威脅行為者所為。該平台稱，一名 Radiant 開發人員於 9 月 11 日收到了一條 Telegram 消息，其中包含一個來自 "可信賴的前承包商 "的壓縮文件，要求就他們正在計劃的一項新工作提供反饋。經審查，這條信息疑似來自冒充前承包商的與朝鮮結盟的威脅行為者。"這個 ZIP 文件在分享給其他開發人員徵求反饋意見時，最終發送了惡意軟件，為隨後的入侵提供了便利"。Radiant Capital 認為負責該事件的威脅行為者被稱為"UNC4736"------據悉與朝鮮主要情報機構偵察總局(RGB)有關，並被推測是黑客組織 Lazarus Group 的一個子團伙。此前報導，跨鏈借貸協議 Radiant Capital 遭遇網絡攻擊，損失超過 5000 萬美元。

ChainCatcher 消息，据 Cointelegraph 報導，朝鮮黑客似乎已經開發出能夠逃避蘋果安全檢查的惡意軟體。專注於蘋果的 Jamf Threat Labs 研究人員表示，這些應用程式似乎是實驗性的。這是他們第一次看到這種技術被用來入侵蘋果的 macOS 操作系統，但它不會在最新的系統上運行。研究人員發現，微軟 VirusTotal 在線掃描服務報告稱這些應用程式無害，但實際上帶有惡意。這些應用程式的變體是用 Go 和 Python 語言編寫，使用了 Google Flutter 應用程式。Flutter 是一個開源開發工具包，可用於創建多平台應用程式。六個惡意應用程式中有五個具有開發者帳戶簽名，並已由 Apple 臨時公證。研究人員寫道："該惡意軟體中的域名和技術與其他朝鮮黑客惡意軟體中使用的域名和技術非常相似，有跡象表明，該惡意軟體曾被簽名，甚至暫時通過了 Apple 的公證程序。"

ChainCatcher 消息，据 Cointelegraph 報導，根據 SentinelLabs 的報告，朝鮮黑客 BlueNoroff 正在利用新惡意軟件攻擊加密貨幣公司，綽號為"Hidden Risk"的惡意軟件操作通過多個階段通過 PDF 文件進行傳播，使用虛假新聞標題和加密市場研究吸引用戶下載。該惡意軟件包包含多項功能，旨在為黑客提供後門，以遠程訪問受害者的計算機，竊取敏感信息，包括數字資產錢包和平台的私鑰。據網絡安全公司 Recorded Future 稱，自 2017 年以來，朝鮮黑客組織已竊取約 30 億美元資金。

ChainCatcher 消息，ZachXBT 在其個人頻道發文稱，TapiocaDAO 黑客攻擊或因團隊成員下載惡意軟體導致，此次盜竊其他近期黑客攻擊也有所關聯，包括 Nexera、Concentric、Masa、SpaceCatch、Reach、Serenity Shield、MurAll 等，由虛假求職騙局引發。據悉，價值約 400 萬美元的被盜資金已從 Arbitrum 轉移到 BSC。