ArmorSteal恶意软件窃取密码和加密钱包数据，打开任务管理器时隐藏挖矿程序

事件经过

每当用户打开任务管理器或其他监控工具时，挖矿程序便会关闭。该套件自带Python 3.11运行时。

三个计划任务使其保持运行：SysCheck2、SysCheckX以及新发现的SysHeal。它会窃取凭据和加密钱包，劫持剪贴板中的地址，并运行一个隐藏的类Monero挖矿程序。

Zscaler ThreatLabz于2026年10月22日记录了该恶意软件家族。

网络安全 Cyber Security News 恶意软件 3分钟阅读。

Seqrite的样本比该报告以及更早的2026年6月版本都要新。搜索Chocolatey或Microsoft Activation Scripts的受害者会被引导至仿冒域名的页面。

这些页面会展示一条PowerShell命令，用于安装真正的工具，并悄悄将该套件投放到C:\Windows\SystemHealth\Update。每个脚本都使用PyArmor 9.1.7试用版进行了保护。