Bybit tiết lộ cuộc tấn công phần mềm độc hại dành cho người dùng macOS: Sử dụng "Claude Code" để tìm kiếm mã độc hại và tiến hành cuộc tấn công đa giai đoạn

Source: bybit

据 Bybit 官方透露，其 安全运营中心（SOC） 发现了一起针对 macOS 用户的复杂恶意软件攻击活动。 攻击者通过 SEO 投毒手段，将恶意网站推至 Google 搜索结果前列，当用户搜索 AI 开发工具「Claude Code」 时，被引导至伪造安装页面，触发多阶段攻击链，目标包括窃取凭证、加密资产 及获取设备长期控制权。

该攻击最早于 2026 年 3 月被发现。首阶段通过 Mach-O 投递器 释放基于 osascript 的信息窃取程序，具备 AMOS 、 Banshee 等家族特征，可窃取浏览器凭证 、 macOS 钥匙串 、 Telegram 会话 、 VPN 配置 及加密钱包数据，并针对 250+ 浏览器钱包插件 及多款桌面钱包发起访问尝试。

第二阶段 为 C++ 后门 程序，具备沙箱检测与加密配置能力，通过系统级代理实现持久化，并通过 HTTP 轮询方式接收指令，实现远程控制。

Bybit 表示，其 SOC 在本次事件中引入 AI 辅助分析，覆盖从样本分类 、逆向工程 到 IOC 提取与检测规则生成的完整流程，将分析时间从数小时缩短至约 40 分钟， 并实现当日完成检测与缓解措施部署，整体效率提升约 70%。

Bybit 集团 风险 控制 与 安全 负责人 David Zong 表示：「 作为较早公开此类攻击活动的 交易所 之一，我们认为披露相关发现有助于提升行业 整体 预防 能力。 借助 AI 辅助的 SOC， 我们已 实现从威胁检测 到 完整攻击链可视化在单一周期内完成。 过去需要多名分析师跨班次完成的逆向 、 IOC 提取、报告 撰写 与规则生成，如今可在一次会话中完成——AI 负责处理大量分析工作， 分析师进行判断与校验 。未来 安全 将进入 『AI 对抗 AI』 阶段，利用 AI 防御 AI 将成为趋势。 Bybit 将持续加大在安全 AI 领域的投入，推动威胁检测向分钟级响应及自动化智能处置 演进。」

调查 还发现， 攻击者使用伪造 的 macOS 密码 弹窗 进行 社会工程 攻击， 缓存 用户凭证； 部分情况下 还尝试将 Ledger Live 、 Trezor Suite 等官方钱包 替换 为 木马版本。

Vụ tấn công này ảnh hưởng đến trình duyệt dựa trên Chromium, Firefox, Safari, Apple Notes và thư mục nhạy cảm cục bộ. Tên miền độc hại liên quan và cơ sở hạ tầng C2 đã được xử lý và tiết lộ công khai. Vụ tấn công sử dụng giao tiếp HTTP định kỳ nghỉ ngơi để tăng cường khả năng phát hiện.

Bybit cho biết, với sự phổ biến của các công cụ AI, kẻ tấn công đang thao túng kết quả tìm kiếm để nhắm mục tiêu vào nhóm nhà phát triển. Vì các nhà phát triển kiểm soát mã nguồn, cơ sở hạ tầng và quyền truy cập tài chính, họ đã trở thành mục tiêu tấn công có giá trị cao. Bybit đã xác nhận cơ sở hạ tầng độc hại vào ngày 12 tháng 3 và đã hoàn tất việc phân tích, phát hiện và biện pháp giảm nhẹ vào cùng ngày. Ngày 20 tháng 3, họ đã tiết lộ ra ngoài và công bố hướng dẫn bảo vệ chi tiết.

Bài viết này được đăng từ bài báo, không tượng trưng cho quan điểm của BlockBeats

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia