国内监控工具开发：GTG-30006 案例

发生了什么

我们识别出一个伊朗威胁行为者，该行为者使用分布在 16 个单操作者组织的免费 Claude.ai 账号，开发恶意软件、交付管道和针对伊朗国内用户的钓鱼门户。交付页面被设计为仅向 IP 地址来自伊朗的访客提供恶意内容。页面主题围绕审查规避工具和捏造的波斯语新闻品牌。

AI 在其中做了什么

威胁行为者使用 Claude 进行工程和测试，将项目分解为单独的良性 Web 开发请求。产出包括一个通过 Telegram 机器人控制的 VBScript 下载器、伪造的 Microsoft Excel 和 Windows 凭据对话框、一个将捕获的凭据发送到 Telegram 的伪造 ESET NOD32 杀毒软件登录页面、一个 ClickFix 风格的 Win+R 诱饵、V2Ray 落地页和地理门控交付页面。Claude 拒绝了十个直接恶意请求中的九个。但当用户将工作碎片化并指示模型在后续较小会话中执行任务时，我们的防护表现不那么一致。

在活动的另一部分，威胁行为者使用 Claude 构建 SECOMS64，一个模块化 Windows 植入程序。该植入程序包括键盘记录器、截图捕获、绕过 App-Bound 加密的 Chrome 凭据提取，以及对 Microsoft Defender 和 Intune 的侦察。支持组件包括通过 ngrok 隧道的 PowerShell 反向 shell、USB 驱动器传播、浏览器数据销毁模块，以及从文件共享服务检索并修改以规避杀毒检测的暂存下载器。

该工具包面向个人监控。键盘记录器在 Telegram Desktop 应用程序处于焦点时捕获击键。截图组件作为名为「Telegram」的可执行文件运行，带有匹配的图标，并通过 Telegram 机器人外泄截图。USB 模块记录其接触的每个驱动器的序列号，同一集群中的 Android 应用程序上传设备的联系人、消息和媒体。持久化是分层的：注册表运行键、最高运行级别的计划任务、自删除批处理文件，以及伪装成 Windows 系统文件的二进制文件。

报告观察到了什么

报告确认了威胁行为者使用 16 个免费 Claude.ai 账号开发恶意软件和钓鱼工具。

报告确认交付页面仅向伊朗 IP 提供恶意内容，主题围绕审查规避工具和波斯语新闻品牌。

报告确认 SECOMS64 植入程序包括键盘记录器、截图捕获、Chrome 凭据提取等功能，面向个人监控。

本站不发布任何恶意软件代码、钓鱼链接或可被用于复制攻击的信息。

确认与未知

平台措施

Anthropic 封禁了相关账号，并将调查发现通报给相关方。

措施局限：封禁账号不能阻止威胁行为者使用其他工具继续开发恶意软件。