Aggregator

一款名为Arkanix Stealer的信息窃取恶意软件于2025年末在多个暗网论坛进行推广。据分析，该恶意软件疑似由AI辅助开发，更像是一次技术实验。而其包含控制面板及用于与用户沟通的Discord服务器在运营仅两个月后，作者便在未发出任何通知的情况下将其下线。

Arkanix提供了网络犯罪分子常用的多项标准数据窃取功能，同时具备模块化架构与抗分析能力。卡巴斯基研究人员在分析后发现，多项线索表明该窃密木马由大语言模型（LLM）辅助开发，这“可能大幅降低了开发时间与成本”。

代码中存在大语言模型（LLM）生成痕迹

研究人员认为，Arkanix属于生命周期较短、旨在快速牟利的项目，这类特性使其更难被检测与追踪。

Arkanix浮出水面

Arkanix于2025年10月开始在黑客论坛推广，向潜在客户提供两个版本：

·基础版：基于Python实现

·高级版：采用原生C++编写载荷，使用VMProtect加壳，集成免杀与钱包注入功能

Arkanix在黑客论坛上受到推广

开发者搭建了Discord服务器，作为项目社区交流平台，用于发布更新、收集功能反馈并提供技术支持。 

该恶意软件还推出了推广奖励计划：推荐人可额外获得一小时高级版免费使用时长，新用户则可免费体验一周高级版。 

控制面板内的推广推荐选项

数据窃取能力

Arkanix恶意软件可收集系统信息，窃取浏览器存储的数据（历史记录、自动填充信息、Cookie、密码），并支持从22 款浏览器中提取加密货币钱包数据。卡巴斯基指出，该木马还可在基于Chromium内核的浏览器中窃取OAuth2令牌。

此外，该恶意软件可窃取Telegram、Discord账号凭证，通过Discord API传播，并向受害者的好友或频道发送消息。 

Arkanix还针对Mullvad、NordVPN、ExpressVPN、ProtonVPN等VPN工具的账号密码，可将本地文件打包并异步外传。

从命令与控制（C2）服务器可下载的扩展模块包括：Chrome信息窃取工具、Exodus/Atomic钱包补丁工具、屏幕截图工具、HVNC以及针对FileZilla、Steam的窃密模块。

部分受攻击的加密货币扩展列表

高级原生C++ 版额外增加以下能力：

·RDP凭证窃取

·反沙箱、反调试检测

·基于WinAPI的屏幕捕获

·针对Epic Games、Battle.net、Riot、Unreal Engine、Ubisoft Connect、GOG等平台的账号窃取

高级版还会投放后渗透工具ChromElevator，该工具注入挂起的浏览器进程实施数据窃取，可绕过谷歌应用绑定加密（ABE）保护，非法获取用户账号凭证。 

目前，Arkanix窃密项目的实验目的尚不明确。但该项目验证了大语言模型能在很大程度上提升恶意软件开发效率，以及新功能可以很快交付这一事实。卡巴斯基评价称，Arkanix与其说是一款隐蔽的窃密木马，更像是一款公开的软件产品。

永利度假村（Wynn Resorts）已证实，其公司遭遇黑客入侵，员工信息遭泄露。该公司在发布的声明中表示，发现数据泄露后，已立即启动事件响应流程，并在外部网络安全专家协助下展开全面调查。 

尽管永利未透露是否为防止数据泄露支付赎金，但公司称，攻击者已表示“被盗数据已被删除”。而在以往的勒索事件中，恶意分子通常只会在与受害者达成协议后，才宣称已删除数据。

据了解，此次攻击事件未影响宾客服务与实体设施运营，该集团所有业务均正常运行。永利还将为受影响员工提供免费的信用监控与身份保护服务。

ShinyHunters泄露网站相关情况

不久前，永利度假村被发现出现在ShinyHunters的数据泄露网站上。该团伙在帖子中宣称，窃取了“超过80万条包含个人身份信息（社保号等）和员工数据”，并警告永利须在2026年2月23日前联系谈判，否则将公开数据。

永利度假村出现在 ShinyHunters 数据泄露网站名单中

不久后，永利相关条目从该网站移除——这一情况通常出现在双方正在谈判或对相关主张存在争议时。 不过，永利度假村未回应是否支付赎金及具体受影响人数，ShinyHunters也对是否收到赎金问题表示不予置评。该恶意团伙此前宣称，数据是从永利的Oracle PeopleSoft系统环境中窃取。

关于ShinyHunters勒索组织

ShinyHunters是一个臭名昭著的数据勒索组织，以入侵企业、被盗数据索要赎金为主要手段。该组织曾宣称制造多起重大数据盗窃事件，多年来通过多个地下论坛与勒索门户活跃运营。 

去年，ShinyHunters发起大规模攻击，通过社会工程学与被盗第三方OAuth令牌窃取了多家企业的Salesforce数据。 

近几周，该团伙宣称入侵了包括Panera Bread、Betterment、SoundCloud、Canada Goose、PornHub以及在线交友巨头Match Group在内的多家机构。

部分受害者因语音钓鱼（vishing）攻击中招：攻击者冒充IT支持人员，诱骗员工在钓鱼页面输入账号密码与多重要素验证（MFA）代码，以此攻破谷歌、微软、Okta等平台的单点登录（SSO）账号。 

据报道，ShinyHunters近期还使用了设备码语音钓鱼手段获取Microsoft Entra身份认证令牌。 在窃取受害者凭证与验证码后，恶意分子劫持其单点登录账号，进而从关联的各类SaaS应用中窃取数据，包括Salesforce、Microsoft 365、Google Workspace、SAP、Slack、Adobe、Atlassian、Zendesk、Dropbox等平台。