A little help from your search engine. [Research Saturday]
三句話摘要
攻擊者透過 SEO 投毒和社交工程欺騙，利用偽造的 Claude Code 安裝頁面傳播信息竊取器，結合多層規避技術完全繞過企業安全防護。 這場攻擊的真正威力在於攻擊者如何精妙地組織多個規避技術層層相扣，每一層都針對性地擊敗特定防禦機制，最終在極度信任且缺乏安全背景的用戶群體中造成大規模傷害。 SEO 投毒結合社交工程的大規模獵殺：攻擊者利用人們對 AI 工具的急迫需求，使偽造頁面在搜尋結果中排名靠前，目標並非駭客或安全專業人士，而是缺乏防禦意識的新手開發者、教師、小企業主——那些想用 AI 做出新事物的人。
重點整理
重點- 1
SEO 投毒結合社交工程的大規模獵殺：攻擊者利用人們對 AI 工具的急迫需求，使偽造頁面在搜尋結果中排名靠前，目標並非駭客或安全專業人士，而是缺乏防禦意識的新手開發者、教師、小企業主——那些想用 AI 做出新事物的人。
- 2
分層規避技術的精妙協同：多格式檔案繞過檔案型反病毒、AMSI 停用繞過作業系統層檢測、記憶體加密執行繞過取證工具、唯一 URL 生成繞過威脅情報——這些技術單獨都不新穎，但組織在一起時形成無縫的防禦破壞鏈。
- 3
記憶體執行徹底摧毀傳統防禦：零磁碟落地、全程加密執行，使得檔案掃描、臨時檔案檢查、甚至記憶體掃描器都失效，即使擁有企業級 EDR、沙箱、反病毒的受害者也產生零告警。
- 4
每機獨特 URL 摧毀威脅情報的原子 IOC：系統根據受害電腦的主機名和使用者名稱動態生成 C2 URL，使得 Hash、域名、IP 這類傳統指標完全無用，威脅情報團隊無法建立跨受害者的追蹤。
實用技巧與重點
乾貨- 攻擊媒介
- SEO 投毒的 Google 搜尋結果（關鍵字：「Claude Code install」）
- 偽造 Anthropic 官方網站（使用西里爾字母 A 等手法混淆域名）
- 初始攻擊鏈
- 社交工程：Copy-Paste-as-Exploit（CoPE），騙使用者貼入 MSHTA 命令
- 多格式檔案：MP3 音樂 + 嵌入式 VBScript 混合
- AMSI 停用（Windows 反惡意軟體掃描介面）
- 技術規避細節
- 使用 32 位元 PowerShell（而非現代 64 位元，因為防護較少）
- 17MB 加密 PowerShell 腳本（龐大尺寸反而增加逆向工程難度）
- 全記憶體執行、無磁碟落地、全程加密
- 動態 URL：基於 `hostname + username` 生成的唯一 C2 位址
- 最終負載
- 信息竊取器，竊取：密碼、銀行帳戶、加密貨幣帳戶、企業登入
- 攻擊者屬性
- IP 追蹤至俄羅斯空間
- 推測為俄羅斯網路犯罪集團
- 動機：金錢盜竊（商品化信息竊取器）
- 防守措施
- MSHTA 不應建立 HTTPS 出站連線（EDR 獵捕規則）
- 32 位元 PowerShell 不應由常見登錄計畫工作產生
- 主動阻止對 C2 域名（俄羅斯）的 DNS 查詢
- 員工培訓：驗證下載 URL、認識 Copy-Paste 騙局
- 監控員工存取 AI 工具並檢查上傳/下載內容
- 部署官方企業 AI 工具並限制其他工具安裝
結論
結論“這場攻擊的真正威力在於攻擊者如何精妙地組織多個規避技術層層相扣，每一層都針對性地擊敗特定防禦機制，最終在極度信任且缺乏安全背景的用戶群體中造成大規模傷害。”
完整解析
詳細Cideris 威脅服務團隊分析了一個完全繞過企業防禦堆疊的精妙攻擊活動。這個故事的開端是一個真實場景：某位開發者或小企業主在 Google 搜尋「Claude Code install」，希望探索 AI 工具的可能性，卻在搜尋結果首頁找到了一個精心偽造的 Anthropic 官方網站。這正是 SEO 投毒的威力——攻擊者利用人們對 AI 工具的熱情和急迫感，將欺騙頁面送到了最容易被發現的地方。
進入偽造網站後，使用者被引導進行一個看似合理卻充滿陷阱的步驟：複製一段命令並貼入 Windows 執行對話框。這個看似簡單的「複製貼上」操作（Copy-Paste-as-Exploit）啟動了 MSHTA（Microsoft HTML Application Host），整個攻擊鏈由此開始。MSHTA 下載一個多格式檔案——這個檔案是一個完全合法可播放的 MP3 音樂檔，卻同時包含嵌入的 VBScript 程式碼。這種設計的巧妙之處在於它同時欺騙了人類使用者和作業系統防禦：音樂正常播放，卻又隱藏著惡意程式。傳統的檔案型反病毒完全無法識別威脅。
VBScript 接著啟動 PowerShell loader，其第一個動作是停用 Windows 的 AMSI（反惡意軟體掃描介面），這是作業系統層級的最後一道防線。從這一刻起，攻擊完全在記憶體中進行——沒有任何檔案寫入磁碟，所有執行資料都經過加密。攻擊者有意選用 32 位元 PowerShell 而非現代的 64 位元版本，因為舊版本的防護機制較少。隨後下載的是一個 17MB 的龐大加密 PowerShell 腳本，看似容易被偵測，但實際上這個尺寸反而成為一道防線——它的龐大和複雜性使逆向工程變成地獄式的工作，即使被送入沙箱環境分析，其層層混淆和加密技術也能完全擊敗沙箱檢測。
最後，這個 17MB 腳本會根據受害者電腦的主機名和使用者名稱生成唯一的 URL 向 C2 伺服器回連。這個設計完全摧毀了基於 Hash、域名和 IP 的威脅情報機制——每個受害者都有獨特的特徵，使得原子 IOC（Indicators of Compromise）完全無用。最終執行的負載是一個通用信息竊取器，它會竊取受害者電腦上的所有密碼、銀行帳戶憑據、加密貨幣錢包存取權限和企業登入資訊。整個活動被追蹤到俄羅斯 IP 空間，推測為俄羅斯網路犯罪集團為了金錢盜竊而發動的活動。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
