VOLTA 窃密木马用 Claude、Gemini、Kimi 给受害者「估价」，按变现价值排序
Cisco Talos 披露新型 Windows 窃密木马 VOLTA，窃取浏览器密码、OAuth 令牌与钱包助记词后，把数据打包成「证据包」交给大模型，输出受害者资产估值与密码卫生评级。
信息窃取
Aoki 木马盯上 AI 编程助手：.claude.json 与 Codex 配置成新猎物
Symantec 披露 Aoki 信息窃取木马新增针对 AI 编程工具的采集能力，目标包括 Claude 配置与 cookie、Codex 的 config.toml、Cursor 本地库以及 Copilot、Gemini 等令牌。
FakeGit 复活：17610 个 GitHub 恶意仓库投递 SmartLoader 窃密
软件供应链安全厂商 Apiiro 披露，FakeGit 行动已于 10 月 4 日复活，其 GitHub 恶意仓库总数达 17610 个。34 小时内推送超 13000 个仓库，借 README 下载按钮投递 SmartLoader 与 StealC 窃密程序，部分伪装成 AI 技能与 MCP 服务器。
MALFEX：8 个恶意 npm 包被下载 4 万次，投递 Overlord 远控
CloudSEK 与 Checkmarx 披露 MALFEX 供应链行动：8 个恶意 npm 包累计被下载 40,767 次，通过 postinstall 钩子投递 Overlord RAT 与 Node.js 窃密程序，其中 3 个包截至披露时仍在线。
Underground 窃密行动：劫持浏览器会话盗空交易所账户并改写提现邮件
Netskope 披露 Underground 窃密行动：Aotera/Tedy 加载器把窃密程序注入 dllhost.exe，再用受害者浏览器配置启动 Chrome/Edge，在已登录会话中盗空交易所账户并改写提现确认邮件，链上收益约 10 万美元。
Lunex 窃密平台滥用 AMD 驱动：BYOVD 让 EDR 全程“失明”
Ontinue 披露 Lunex 恶意软件即服务平台：经 ClickFix 假验证码投递伪造 MSI，借 AMD Radeon PDFWKRNL.sys 驱动（CVE-2023-20598）实施 BYOVD，零化内核回调让安全软件保持运行却失效。
PamStealer 新变种：假钱包站投毒，载荷解密绑死 C2 服务器
Jamf 威胁实验室发现 PamStealer 新变种，通过假冒加密货币钱包站点 wavel.app 投递 macOS 窃密木马。载荷改用服务端 X25519 密钥交换解密，脱离 C2 无法静态还原；持久化多达四层并劫持 Git hooks。
TASK#STOMP 后门滥用系统自带组件，窃取文档与 Wi-Fi 密码
Securonix 披露 Windows 后门 TASK#STOMP：用 VBScript 安装器注册四条伪装成系统服务的计划任务，再用两个隐藏 PowerShell 模块窃取商业文档、Wi-Fi 明文密码与剪贴板内容，并接受远程命令。
ChainScript 木马借 ClickFix 投递，用区块链合约轮换 C2 服务器
Blackpoint 披露新型 Node.js 远控木马 ChainScript：借 ClickFix 诱骗用户运行伪装成 Spotify 的 MSI 安装包，并通过 Polygon 智能合约动态解析 WebSocket C2 地址，封一台换一台，规避基于固定域名与 IP 的封禁。
Rapuncel 窃密木马借微软签名驱动关闭 145 款杀毒与 EDR 软件
LastPass 与 Delphos Labs 披露 Rapuncel 信息窃取木马活动：攻击者用 SEO 优化的假 GitHub 仓库冒充 LastPass 等 40 家厂商，投递经微软签名的 Alinubx.sys 内核驱动终止 145 款安全产品，再窃取浏览器、钱包与通讯软件凭据。