AI助力Bybit Security 團隊發現針對搜尋 Claude Code 用戶的 macOS 惡意軟體攻擊活動

初始有效負荷通過Mach-O病毒釋放器傳遞，部署一個基於osascript的資訊竊取程式，其特徵與已知的AMOS和Banshee變種相似。該程式執行多階段混淆序列，以竊取敏感數據，包括瀏覽器憑證、macOS鑰匙串條目、Telegram會話、VPN設定文檔以及加密貨幣錢包資訊。Bybit研究人員發現，攻擊者針對250多個基於瀏覽器的錢包擴展程式和多個桌面錢包應用程式，發起了有針對性的訪問嘗試。

第二階段有效負荷引入一個基於C++的後門程式，該程式具備高級規避能力，包括沙箱檢測和運行時加密配置。惡意軟體通過系統級代理實現持久化駐留，並支持通過基於HTTP的輪詢機制執行遠端命令，使攻擊者能夠持續控制受感染的設備。

Bybit的安全運營中心在整個惡意軟體分析生命週期中運用了AI輔助的工作流程，在保持分析深度的同時，顯著加快了回應速度。對Mach-O樣本的初步分類和判定在幾分鐘內便已完成，相關模型還標記出了該樣本與已知惡意軟體家族的行為相似性。

AI輔助的逆向工程和控制流分析，將第二階段後門程式的深度檢查所需時間，從預計的6至8小時大幅縮短至40分鐘以內。與此同時，自動化提取流程識別出了感染指標(IOC)，包括命令控制基礎設施、文檔特徵和行為模式，並將它們與已知威脅框架進行了匹配。

這些能力使得檢測措施在當天就能部署到位。AI輔助規則生成，助力創建威脅特徵和終端檢測規則，分析師在將其推送至生產環境前會進行驗證。AI生成的報告草稿進一步縮短了處理時間，使威脅情報成果的最終確定速度比傳統工作流程快了約70%。

Bybit集團風險控制與安全負責人David Zong表示：「作為首批公開記錄此類惡意軟體攻擊活動的加密貨幣交易所之一，我們認為分享這些發現對於加強整個行業的集體防禦至關重要。我們的AI輔助安全運營中心讓我們能夠在單一操作視窗內，從檢測階段直接實現完整殺傷鏈的全面視覺化。以往需要多名分析師跨班次協作完成的工作——包括反編譯、IOC提取、報告撰寫和規則編寫——如今在AI承擔主要工作、分析師提供判斷與驗證的情況下，僅需一個工作週期即可完成。」展望未來，我們將面臨一場AI戰爭。利用AI防禦人工智慧已成為必然趨勢。 Bybit 將進一步增加安全領域AI的投入，實現分鐘級威脅偵測和自動化智慧緊急應變。」

此次調查還揭示了攻擊者使用的社會工程學手段，包括偽造macOS密碼提示框，以此誘騙用戶驗證並緩存其帳戶憑證。在某些案例中，攻擊者試圖將合法的加密貨幣錢包應用（如Ledger Live和Trezor Suite），替換為託管在惡意基礎設施上的特洛伊木馬版本。

該惡意軟體針對多種環境發起攻擊，包括基於Chromium的瀏覽器、Firefox變種版本、Safari瀏覽器數據、蘋果筆記應用，以及通常用於存儲敏感財務或身份驗證數據的本地文檔目錄。

Bybit已識別出與此次攻擊活動相關的多個域名及命令控制端點，為公開披露已對其全部進行脫敏處理。分析表明，攻擊者採用間歇性HTTP輪詢而非持久連接方式，這增加了檢測難度。

此次事件反映出一種日益明顯的趨勢——攻擊者正通過篡改搜索結果，來針對開發者發動攻擊，尤其是在AI工具日益普及的背景下。開發者因其能夠訪問代碼庫、基礎設施及金融系統，始終是攻擊者重點瞄準的高價值目標。

Bybit證實，3月12日已識別出惡意攻擊基礎設施，並於當天完成全面分析、風險緩解及檢測措施部署。3月20日，Bybit向公眾披露相關資訊，並同步發佈了詳細的檢測指南。

請在社交媒體上關注#Bybit / #CryptoArk / #NewFinancialPlatform。

關於Bybit

Bybit是全球交易量第二大的加密貨幣交易所，服務於全球超過8000萬用戶。Bybit成立於2018年，致力於通過為大眾打造一個更簡單、開放、平等的生態體系，重新定義去中心化世界的開放性。Bybit專注於Web3領域，並與領先的區塊鏈協定建立戰略合作關係，提供堅實的基礎設施，推動鏈上創新。憑藉其安全託管、多元化市場、直觀的用戶體驗及先進的區塊鏈工具，Bybit成為連接傳統金融(TradFi)與去中心化金融(DeFi)的橋樑，賦能開發者、創作者和愛好者，釋放Web3的全部潛力。探索去中心化金融的未來，請訪問Bybit.com。

更多關於Bybit的詳情，請訪問：Bybit Press
媒體垂詢，請聯繫：[email protected]
瞭解最新動態，請關注：Bybit社區和社交媒體

Discord | Facebook | Instagram | LinkedIn | Reddit | Telegram | TikTok | X | Youtube