Morphisec 报告称，Facebook 上宣传的虚假 AI 图像生成器正导致新型信息窃取器 “Noodlophile” 的出现。

　　Morphisec 研究人员发现，Facebook 上有页面冒充合法的文本转视频 AI 服务 Luma Dream Machine，并链接到虚假网站，承诺提供免费的图像转视频 AI 生成服务。

　　Morphisec 发布的截图显示，其中一个虚假页面拥有近 4000 名粉丝，其中一个页面还被 “验证” 了蓝色对勾。此外，宣传虚假视频生成器的一篇帖子获得了超过 62000 次浏览。

　　如果用户在这些网站之一上传图像以转换为视频，该网站会提供一个存档下载，声称包含 AI 视频，而实际上包含恶意可执行文件和隐藏文件夹，其中包含其他恶意文件。初始可执行文件名为 “Video Dream MachineAI.mp4.exe”，带有假的视频文件扩展名和空白字符，以掩盖其真实性质。该文件是经过修改的合法 CapCut 视频编辑工具的版本，并且使用 WinAuth 创建的证书进行了签名，这可能有助于恶意软件逃避安全警报。

　　一旦执行，该文件会启动多层次的攻击链，利用隐藏文件夹 “5.0.0.1886” 中的其他文件。初始可执行文件会定位并执行名为 “CapCut.exe” 的第二个可执行文件，这是一个嵌入了恶意 .NET 负载的 C++ 外壳。

　　“CapCut.exe” 还嵌入了大约 275 个便携式可执行（PE）文件，使其大小膨胀到 140 MB，这可能有助于它更好地伪装成合法软件应用程序，并逃避静态扫描器，Morphisec 表示。

　　“CapCut.exe” 启动恶意 .NET 组件 “CapCutLoader”，通过最多 10 次向 google.com 发送 ping 来确认互联网连接，然后从文件 “AICore.dll” 中导入 wgom 函数。wgom 函数有助于执行命令行函数，从而允许执行 “install.bat”，该文件在执行前由 “CapCutLoader” 从原始名称 “Document.docx” 更名。

　　这个被混淆的批处理脚本文件伪装成 Word 文档，执行一系列操作以建立持久性、阻碍调查并检索最终的 Noodlophile 负载。

　　该脚本创建一个新的批处理脚本 “Explorer.bat” 并将其注册到 Run 注册表键下以建立持久性。它使用名为 “srchost.exe” 的文件来执行检索另一个 Python 脚本 “Randomuser2025.txt” 的 Python 代码。然后它会删除自身和提取的存档，试图抹去攻击的取证痕迹，Morphisec 解释道。

　　“Randomuser2025.txt” 文件动态解码并在内存中加载 Noodlophile 负载，以及一个名为 XWorm 的基于 Python 的加载器。“Randomuser2025.txt” 文件顶部还包含大约 10000 个重复的 1/int(0) 实例，旨在 “破坏自动化工具，特别是那些试图进行反汇编或字节码分析或 AST 解析器的工具”，Morphisec 安全研究人员 Shmuel Uzan 写道。

　　Noodlophile 信息窃取恶意软件会收集浏览器凭据、cookie、加密货币钱包信息以及其他敏感信息和令牌。它通过 Telegram 将提取的信息发送给攻击者，并且根据 Morphisec 对恶意软件开发者的调查，被认为是作为一种恶意软件即服务（MaaS）提供的服务。

　　Morphisec 指出，发现的攻击有时会将 Noodlophile 与 XWorm 下载器工具捆绑在一起，该工具通过使用本地 shellcode 加载器函数直接在内存中执行 donut 代码来帮助感染，并在 RegAsm.exe 上执行 PE 空心化以将恶意软件注入合法系统进程，但仅在存在 Avast 工具时才会发生。

　　随着生成式 AI 工具在个人和商业用途中越来越受欢迎，越来越多的虚假 AI 工具出现，诱骗用户安装恶意软件。最近的一次传播名为 TookPS 的恶意软件的活动就利用了 DeepSeek 和其他商业工具的免费安装作为社会工程诱饵。

　　另一个例子是，声称提供对 ChatGPT 和 Claude 的 API 访问权限的虚假 Python Package Index (PyPI) 包，导致在去年发现的一次攻击中安装了 JarkaStealer 信息窃取器恶意软件。