AI明星DeepSeek被“黑化”：恶意软件伪装成热门工具在网络上传播

DeepSeek作为近期人工智能领域备受关注的热点之一，其软件产品已被攻击者仿冒，或被用作话题诱饵，引诱目标用户运行。攻击者通过仿冒知名软件，更容易获取用户的信任，从而大大提高了恶意软件的传播成功率。

近日，安恒猎影实验室发现多起恶意软件仿冒DeepSeek进行传播的事件。攻击者利用DeepSeek在人工智能领域的知名度，通过伪造官方网站、捆绑软件、伪装更新程序等方式，诱导用户下载并安装恶意软件。这些恶意软件会窃取用户数据、破坏系统，甚至植入后门程序，对用户隐私和系统安全构成严重威胁。

我们捕获到的运行于Android平台的示例样本信息如下

程序运行后会提示进行更新操作，实际为执行恶意apk程序安装操作

程序首先在Assets目录下查找后缀名为.cat的文件，该cat文件实际为恶意APK文件

找到该文件之后，重命名为“verify.apk”，然后进行安装操作，安装的包名为“com.vgsupervision_kit29”。

成功安装后下次打开本程序会直接打开安装的恶意程序

恶意程序被安装后仍然伪装为DeepSeek应用程序

运行后界面显示为DeepSeek官方网站，具有极强的迷惑性

而在恶意程序内部申请了多种权限对设备进行全方位的监视

利用这些权限，恶意程序可以对如短信、通知、通话记录、手机联系人、应用信息等敏感内容进行监控并发送至服务器。

并且与恶意软件进行通信的服务器域名为DGA生成域名

此外，该任意软件还具有丰富的指令执行功能，可以远程实现发送短信、键盘记录、启动程序、访问指定链接等等。

我们捕获到的运行于Windows平台示例样本信息如下

其中MSI安装包中包含恶意DLL文件CZPgtmlLgThm.dll

经分析，该DLL文件为近期流行的BumbleBee恶意软件加载器，加载器执行后，将在内存加载有效负载，连接远程服务器等待后续指令。

其IP可关联到其他仿冒OneDrive安装包的攻击活动。

另一仿冒DeepSeek的恶意软件如下

该样本在最初上传到VT平台时，仅有一家安全厂商可检测

IP可关联到仿冒SoraAI的应用

为应对此类威胁，用户应仅从DeepSeek官方渠道下载软件，警惕来源不明的邮件、链接和附件，并安装并定期更新杀毒软件。此次恶意软件仿冒DeepSeek传播事件，反映了网络安全威胁的复杂性和隐蔽性。用户和企业需提高警惕，采取有效措施防范类似攻击。同时，此类事件也为人工智能行业的网络安全防护敲响了警钟，未来需进一步加强技术防范和用户教育。

64ced28d55551ae426f2b9b9cce2403c

hxxps://deepsek.cfd/DeepSeek.apk

2df80283a8c95b24b9c057bc8274c14b

hxxp://5.61.50.177/files/DeepSeekSetup.msi

hxxp://5.61.58.167/files/DeepSeekSetup.msi

061a8f66ec2f86f9668c0c157ed54b6c

82.197.67.174