近期出現兩起透過搜尋引擎最佳化投毒（SEO poisoning）散播惡意程式的攻擊活動，分別鎖定開發者常用的 AI 工具，以及高效能電腦用戶常下載的系統工具。
假冒 Gemini 與 Claude 安裝頁面，鎖定開發者竊取資料
獨立資安研究員 @g0njxa 於 2026 年 4 月 21 日率先在 X 揭露此一攻擊活動。隨後，資安業者 EclecticIQ 於 5 月 21 日發布完整報告，指出一名具財務動機的威脅行為者自 2026 年 3 月初起便開始架設惡意網域，主要攻擊美國與英國的軟體開發者。
攻擊者透過 SEO 投毒，將仿冒安裝頁面推上 Google 搜尋結果前段，誘使正在搜尋 Google Gemini 命令列介面（CLI）或 Anthropic Claude Code 等工具的開發者，誤入 geminicli.co.com、claudecode.co.com 等仿冒網域。-而這些網站在外觀上完整複製官方文件頁面。
當使用者造訪假冒的 Gemini 頁面時，網站會要求將一段 PowerShell 指令貼到終端機執行。該指令會連線至 gemini-setup.com，下載名為 start.ps1 的惡意腳本。為降低戒心，腳本會在背景透過 npm 套件管理器安裝真正的 Gemini CLI，讓開發者誤以為工具已正常安裝，同時在背後悄悄入侵系統。針對 Claude Code 的平行攻擊活動則於 3 月 30 日展開，使用 claudecode.co.com 與 claude-setup.com 部署相同手法。
此攻擊植入的惡意酬載為無檔案式資訊竊取程式，全程在記憶體中以 PowerShell 執行，不會在本機磁碟寫入檔案，因此不易留下鑑識痕跡。依 EclecticIQ 報告，惡意程式啟動後會先停用反惡意軟體掃描介面（Antimalware Scan Interface，AMSI）與 Windows 事件追蹤（ETW），以規避端點防護機制，接著從以下三個面向竊取敏感資料：
- 瀏覽器：擷取 Firefox、Chrome、Edge、Brave 等瀏覽器的登入憑證、工作階段 Cookie 及自動填入記錄。
- 應用程式：針對 Slack、Microsoft Teams、Zoom、Discord、Mattermost、Notion、Telegram、Zoho Mail 等，竊取受 DPAPI 保護的金鑰與工作階段 Cookie，使攻擊者得以在不輸入密碼的情況下滲透企業內部網路。
- 檔案與加密貨幣錢包：收集 OpenVPN 設定檔、Brave 與 Spectre 錢包的加密貨幣資料，以及 Google Drive、OneDrive、iCloud、Proton Drive、MEGA 等雲端儲存路徑中的檔案。
此外，該惡意程式亦具備遠端程式碼執行（RCE）能力，使攻擊者可從自動化資料竊取進一步升級為主動操控受害系統。所有竊取的資料皆加密後外洩至 C2 伺服器，位址包括 vents.msft23.com、events.ms709.com 及 mo2307.com。
EclecticIQ 另發現，同一威脅行為者還架設逾 30 個仿冒其他工具的惡意網域，目標包含 Node.js、Chocolatey、KeePassXC、WinSCP、Cyberduck、PuTTY 等，並使用一張從深圳星中星電子科技有限公司竊取的延伸驗證（Extended Validation，EV）憑證，以降低 Windows 安全警示的觸發機率。
GPU 挖礦惡意程式藉 SEO 投毒與 AI 聊天機器人推薦擴散
Microsoft 研究人員另披露一起以高效能電腦用戶為目標的加密貨幣挖礦劫持攻擊活動。
攻擊者同樣透過 SEO 投毒，將惡意下載頁面推上搜尋結果，鎖定 CrystalDiskInfo、HWMonitor、Display Driver Uninstaller、FurMark、K-Lite Codec Pack 及 PDFgear 等系統工具。
值得注意的是，Microsoft 指出 4 月間已有報告顯示，部分用戶是在向 AI 聊天機器人詢問軟體下載建議後，被導向攻擊者控制的惡意網域。
惡意下載內容為 ZIP 壓縮檔，託管於 gleeze[.]com 的子網域（該網域過去曾出現釣魚網站的不良紀錄）。壓縮檔內同時包含合法工具的執行檔，以及一個會在啟動合法程式時自動載入的惡意動態連結函式庫（DLL）。該 DLL 會利用 msiexec.exe 安裝遠端存取工具 ScreenConnect，讓攻擊者取得對受害系統的持久存取權。
建立 ScreenConnect 連線後，攻擊者會植入名為 SimpleRunPE.exe 的執行檔，並將其複製為 RuntimeHost.exe 隱藏於系統資料夾中，同時在多個 Windows 自動啟動位置建立六種持久化機制。部分情況下，該執行檔會偽裝成 vlc.exe，模仿知名多媒體播放器 VideoLAN 的可執行檔名稱。
Microsoft 研究人員根據程式資料庫（Program Database，PDB）路徑判斷，SimpleRunPE.exe 可能源自公開的程序空洞（process hollowing）技術示範儲存庫。攻擊者利用此技術，將惡意程式碼注入 InstallUtil.exe、RegAsm.exe、MSBuild.exe 等由 Microsoft 簽署的合法 .NET 執行檔中執行；同時透過 PowerShell 將自身路徑加入 Microsoft Defender 排除清單，並在執行前檢查環境中是否存在虛擬機器或 40 種分析工具相關程序，若偵測到便終止執行。
完成程序空洞階段後，惡意程式會下載並執行三種挖礦模組之一：
gminer、
lolMiner 及
SRBMiner-MULTI，均以圖形處理器（GPU）為運算資源。Microsoft 指出，此活動的特點在於，攻擊策略從一開始便以最大化每台受害裝置的 GPU 挖礦產出為目標，而非追求大量感染數量。
防護建議
- 僅從官方網站下載軟體，不信任外觀相似的仿冒網域。
- 不直接信任搜尋結果頂端的連結，下載前務必確認網址來源。
- 對 AI 聊天機器人提供的下載連結同樣應先驗證，不可直接點擊。
- 執行或安裝前，先以 VirusTotal 等工具掃描下載檔案。
- 企業可參考 Microsoft 報告所附的入侵指標（IoC）強化環境防護。
本文轉載自 Hackread、BleepingComputer。