AI助力Bybit Security 團隊發現針對搜尋 Claude Code 使用者的 macOS 惡意軟體攻擊活動
terry
阿聯酋迪拜2026年4月23日 /美通社/ — 全球交易量第二大的加密貨幣交易所Bybit報告稱，其安全運營中心(SOC)披露了一項調查結果，詳細說明瞭一場針對搜尋「Claude Code」（Anthropic推出的AI開發工具）的macOS使用者發起的複雜多階段惡意軟體攻擊活動。 本次公開披露可能是中心化交易所該型別報告的首次發布，透過AI工具發現渠道發現針對開發者發起主動威脅攻擊的活動，凸顯了該行業在網路安全情報前沿領域日益重要的作用。 該攻擊活動於2026年3月首次被發現，其利用搜尋引擎最佳化(SEO)投毒手段，將惡意域名推至Google搜尋結果頂部。使用者會被重新定向至一個精心偽造的安裝頁面，該頁面與正規文件頁面高度相似，由此觸發一個兩階段的攻擊鏈，主要目的是竊取使用者憑證、瞄準加密貨幣資產，並獲取對系統的持久訪問許可權。 AI助力Bybit Security 團隊發現針對搜尋 Claude Code 使用者的 macOS 惡意軟體攻擊活動 初始有效負荷透過Mach-O病毒釋放器傳遞，部署一個基於osascript的資訊竊取程式，其特徵與已知的AMOS和Banshee變種相似。該程式執行多階段混淆序列，以竊取敏感資料，包括瀏覽器憑證、macOS鑰匙串條目、Telegram會話、VPN設定文件以及加密貨幣錢包資訊。Bybit研究人員發現，攻擊者針對250多個基於瀏覽器的錢包擴充套件程式和多個桌面錢包應用程式，發起了有針對性的訪問嘗試。 第二階段有效負荷引入一個基於C++的後門程式，該程式具備高階規避能力，包括沙箱檢測和執行時加密配置。惡意軟體透過系統級代理實現持久化駐留，並支援透過基於HTTP的輪詢機制執行遠端命令，使攻擊者能夠持續控制受感染的裝置。 Bybit的安全運營中心在整個惡意軟體分析生命週期中運用了AI輔助的工作流程，在保持分析深度的同時，顯著加快了回應速度。對Mach-O樣本的初步分類和判定在幾分鐘內便已完成，相關模型還標記出了該樣本與已知惡意軟體家族的行為相似性。 AI輔助的逆向工程和控制流分析，將第二階段後門程式的深度檢查所需時間，從預計的6至8小時大幅縮短至40分鐘以內。與此同時，自動化提取流程識別出了感染指標(IOC)，包括命令控制基礎設施、文件特徵和行為模式，並將它們與已知威脅框架進行了匹配。 這些能力使得檢測措施在當天就能部署到位。AI輔助規則生成，助力建立威脅特徵和終端檢測規則，分析師在將其推送至生產環境前會進行驗證。AI生成的報告草稿進一步縮短了處理時間，使威脅情報成果的最終確定速度比傳統工作流程快了約70%。 Bybit集團風險控制與安全負責人David Zong表示：「作為首批公開記錄此類惡意軟體攻擊活動的加密貨幣交易所之一，我們認為分享這些發現對於加強整個行業的集體防禦至關重要。我們的AI輔助安全運營中心讓我們能夠在單一操作視窗內，從檢測階段直接實現完整殺傷鏈的全面視覺化。以往需要多名分析師跨班次協作完成的工作——包括反編譯、IOC提取、報告撰寫和規則編寫——如今在AI承擔主要工作、分析師提供判斷與驗證的情況下，僅需一個工作週期即可完成。」展望未來，我們將面臨一場AI戰爭。利用AI防禦人工智慧已成為必然趨勢。 Bybit 將進一步增加安全領域AI的投入，實現分鐘級威脅偵測和自動化智慧緊急應變。」 此次調查還揭示了攻擊者使用的社會工程學手段，包括偽造macOS密碼提示框，以此誘騙使用者驗證並快取其帳戶憑證。在某些案例中，攻擊者試圖將合法的加密貨幣錢包應用（如Ledger Live和Trezor Suite），替換為託管在惡意基礎設施上的特洛伊木馬版本。 該惡意軟體針對多種環境發起攻擊，包括基於Chromium的瀏覽器、Firefox變種版本、Safari瀏覽器資料、蘋果筆記應用，以及通常用於儲存敏感財務或身份驗證資料的本地文件目錄。 Bybit已識別出與此次攻擊活動相關的多個域名及命令控制端點，為公開披露已對其全部進行脫敏處理。分析表明，攻擊者採用間歇性HTTP輪詢而非持久連線方式，這增加了檢測難度。 此次事件反映出一種日益明顯的趨勢——攻擊者正透過篡改搜尋結果，來針對開發者發動攻擊，尤其是在AI工具日益普及的背景下。開發者因其能夠訪問程式碼庫、基礎設施及金融系統，始終是攻擊者重點瞄準的高價值目標。…