گزارش‌های جدید حاکی از آن است که عاملان تهدید از طریق تبلیغات مخرب (Malicious Ads) که خود را به جای ابزار Claude Code معرفی می‌کنند، در حال توزیع بدافزار Atomic macOS (AMOS) Stealer هستند.
جزئیات حمله
در این کمپین، کاربران با مشاهده تبلیغاتی که ادعا می‌کنند نسخه رسمی یا بهینه‌شده‌ای از Claude Code را ارائه می‌دهند، ترغیب به دانلود و نصب نرم‌افزار می‌شوند. پس از اجرا، این بدافزار که یک Stealer (سارق اطلاعات) است، شروع به جمع‌آوری داده‌های حساس از سیستم کاربر می‌کند.
ویژگی‌های فنی AMOS
- سرقت اطلاعات: این بدافزار به‌طور ویژه برای استخراج پسوردهای ذخیره شده، کوکی‌های مرورگر و توکن‌های احراقی طراحی شده است.
- هدف‌گیری سیستم‌عامل: این نسخه به‌طور خاص برای محیط macOS بهینه شده تا از حفره‌های امنیتی یا مکانیزم‌های اعتماد در این سیستم‌عامل سوءاستفاده کند.
- تکنیک توزیع: استفاده از روش Malvertising برای جذب کاربران هدف که به دنبال ابزارهای توسعه هوش مصنوعی هستند.
به متخصصان امنیت و مدیران SOC توصیه می‌شود دسترسی به دامنه‌های مشکوک مرتبط با این تبلیغات را مسدود کرده و کاربران را در مورد خطرات دانلود نرم‌افزارها از منابع غیررسمی آگاه کنند.
به‌روزرسانی (اکتبر 5, 2026 — Help Net Security)
گزارش جدید شرکت Huntress نشان می‌دهد که در ۴۵٪ از حوادث مرتبط با نقاط انتهایی (Endpoints) در سه‌ماهه اول سال ۲۰۲۶، عوامل تهدید از نرم‌افزارهای مدیریت و نظارت از راه دور (RMM) برای نفوذ استفاده کرده‌اند. از آنجایی که تیم‌های IT از این ابزارها برای مدیریت سیستم‌ها استفاده می‌کنند، مهاجمان با نصب نسخه‌های غیرمجاز، دسترسی مداوم (Persistence) و قابلیت اجرای دستورات از راه دور (RCE) را به گونه‌ای به دست می‌آورند که مشابه فعالیت‌های عادی مدیران سیستم به نظر برسد.
تکنیک‌های پیشرفته سرقت هویت و دسترسی
علاوه بر RMM، دو متد خطرناک دیگر در حوزه مدیریت هویت شناسایی شده است:
- دست‌کاری صندوق ورودی (Mailbox Manipulation): مهاجم با ایجاد قوانین (Rules) خاص در ایمیل قربانی، پاسخ‌های تامین‌کنندگان را به پوشه‌هایی مانند Archive منتقل کرده تا کاربر متوجه تغییرات نشود و سپس فاکتورهای جعلی برای تغییر مسیر پرداخت‌ها ارسال می‌کند.
- حملات Adversary-in-the-Middle (AiTM): در این روش، مهاجم بین کاربر و صفحه ورود Microsoft 365 قرار گرفته و Session Token را سرقت می‌کند. این کار باعث می‌شود مهاجم بدون نیاز به رمز عبور یا عبور از MFA، دسترسی کامل به حساب کاربر داشته باشد.
رشد چشمگیر فیشینگ کدهای دستگاه و کیت‌های جدید
تحقیقات نشان‌دهنده افزایش ۱۳۸۰ درصدی در حملات Device Code Phishing است. در این سناریو، کاربر به صفحه واقعی ورود مایکروسافت هدایت شده و با وارد کردن کد، توکن دسترسی را در اختیار مهاجم قرار می‌دهد که حتی با تغییر رمز عبور نیز ابطال نمی‌شود. همچنین استفاده از کیت‌های فیشینگ مانند EvilTokens و ClickFix به شدت افزایش یافته است؛ به طوری که ClickFix مسئول بیش از ۵۳٪ از فعالیت‌های Malware Loader در سال ۲۰۲۵ بوده است.
در نهایت، سوءاستفاده از پلتفرم‌های AI همچنان ادامه دارد. برای مثال، بدافزار SectopRAT از طریق یک Artifact جعلی در دامنه واقعی claude.ai توزیع شده تا کاربرانی که به دنبال دانلود Claude Desktop هستند را هدف قرار دهد.
