ArcticRAT 最初是針對 11 款加密貨幣 App 用戶的間諜程式。Zimperium 於 2026 年 11 月 12 日公布的研究指出，這款 Android 遙距存取木馬（RAT，即讓操作者遙距存取及控制裝置的惡意程式）已具備更廣泛的功能，還可透過 xAI 的 Grok 分析受感染手機的 App 清單和短訊，協助找出可能有用的財務線索。要留意，研究提到的 78 個樣本是分析過的惡意程式數量，並非已確認的受害者人數。47

不止是偷看加密貨幣 App

ArcticRAT 的變化不只是多了幾款目標 App。Zimperium 在研究的不同版本中記錄到 129 種指令；相關報道亦提到隱藏式 VNC 遙距畫面控制、鍵盤記錄、短訊和通話控制、釣魚畫面，以及假的勒索軟件鎖屏。整體來看，它已是模組化的監察及裝置控制工具，不再局限於窺探加密貨幣 App。57

Grok 如何協助篩查資料？

ArcticRAT 的 xAI_API 指令可用來啟動自動分析。Zimperium 指，指令啟動後，命令及控制伺服器會把 API 金鑰傳到受感染裝置；報道所指的模型名稱是 grok-4.20-0309-non-reasoning。75

技術分析報道描述了兩類分析工作：一是掃描已安裝的 App，找出銀行、加密貨幣及交易服務；二是篩查短訊，找出一次性驗證碼、戶口結餘變動和轉帳通知等內容。這類篩選或可讓操作者更快從大量被竊資料中挑出值得留意的資訊。5720

報道指，這項功能約於 2026 年 7 月中旬出現。Zimperium 說明，加入這項功能是為了減少人手檢查大量外傳資料所需的工夫。711

部分二手報道進一步提到，AI 會估算受害者的財務狀況，並把結果儲存在手機本機。不過，現有來源摘錄未有清楚交代結果的具體格式，以及儲存和傳送細節，因此這些實作說法宜審慎看待。1220

隱蔽控制與已報道的散播方式

AI 分析只是 ArcticRAT 整套裝置控制功能的一部分。報道指，它會利用 Android 無障礙服務、隱藏式 VNC 和 Wireless ADB 進行監察及控制；有報道形容，受害者操作手機時可能只會看到黑畫面。810

目前來源提到的散播方式包括假冒 Google Play 的網頁，部分惡意程式載荷則放在 AWS 儲存空間。現有資料未能確認其他有時被指與這款木馬有關的散播手法，故不宜一概當成已證實。5

78 個樣本，並不等於 78 部中招手機

Zimperium 表示，研究團隊分析了 78 個獨立樣本，當中包括 42 個下載器和 36 個載荷；團隊亦記錄到 129 種指令，以及 21 個命令及控制伺服器 IP 地址。這些數字反映研究分析的惡意程式及其基礎設施，不能用來推算實際有多少部手機受感染。7

為甚麼這次演變值得留意？

能夠辨認手機上的金融 App，再從短訊中篩出驗證碼或交易通知，代表 ArcticRAT 的潛在目標已不只限於最初針對的加密貨幣服務。只要手機受感染，裝置上其他金融服務亦可能成為目標；但這不代表每個已安裝的 App 都能被入侵，也不等於所有驗證措施都能被繞過。4513

ArcticRAT 最初是針對 11 款加密貨幣 App 用戶的間諜程式。Zimperium 於 2026 年 11 月 12 日公布的研究指出，這款 Android 遙距存取木馬（RAT，即讓操作者遙距存取及控制裝置的惡意程式）已具備更廣泛的功能，還可透過 xAI 的 Grok 分析受感染手機的 App 清單和短訊，協助找出可能有用的財務線索。要留意，研究提到的 78 個樣本是分析過的惡意程式數量，並非已確認的受害者人數。47

不止是偷看加密貨幣 App

ArcticRAT 的變化不只是多了幾款目標 App。Zimperium 在研究的不同版本中記錄到 129 種指令；相關報道亦提到隱藏式 VNC 遙距畫面控制、鍵盤記錄、短訊和通話控制、釣魚畫面，以及假的勒索軟件鎖屏。整體來看，它已是模組化的監察及裝置控制工具，不再局限於窺探加密貨幣 App。57

Grok 如何協助篩查資料？

ArcticRAT 的 xAI_API 指令可用來啟動自動分析。Zimperium 指，指令啟動後，命令及控制伺服器會把 API 金鑰傳到受感染裝置；報道所指的模型名稱是 grok-4.20-0309-non-reasoning。75

技術分析報道描述了兩類分析工作：一是掃描已安裝的 App，找出銀行、加密貨幣及交易服務；二是篩查短訊，找出一次性驗證碼、戶口結餘變動和轉帳通知等內容。這類篩選或可讓操作者更快從大量被竊資料中挑出值得留意的資訊。5720

報道指，這項功能約於 2026 年 7 月中旬出現。Zimperium 說明，加入這項功能是為了減少人手檢查大量外傳資料所需的工夫。711

部分二手報道進一步提到，AI 會估算受害者的財務狀況，並把結果儲存在手機本機。不過，現有來源摘錄未有清楚交代結果的具體格式，以及儲存和傳送細節，因此這些實作說法宜審慎看待。1220

隱蔽控制與已報道的散播方式

AI 分析只是 ArcticRAT 整套裝置控制功能的一部分。報道指，它會利用 Android 無障礙服務、隱藏式 VNC 和 Wireless ADB 進行監察及控制；有報道形容，受害者操作手機時可能只會看到黑畫面。810

目前來源提到的散播方式包括假冒 Google Play 的網頁，部分惡意程式載荷則放在 AWS 儲存空間。現有資料未能確認其他有時被指與這款木馬有關的散播手法，故不宜一概當成已證實。5

78 個樣本，並不等於 78 部中招手機

Zimperium 表示，研究團隊分析了 78 個獨立樣本，當中包括 42 個下載器和 36 個載荷；團隊亦記錄到 129 種指令，以及 21 個命令及控制伺服器 IP 地址。這些數字反映研究分析的惡意程式及其基礎設施，不能用來推算實際有多少部手機受感染。7

為甚麼這次演變值得留意？

能夠辨認手機上的金融 App，再從短訊中篩出驗證碼或交易通知，代表 ArcticRAT 的潛在目標已不只限於最初針對的加密貨幣服務。只要手機受感染，裝置上其他金融服務亦可能成為目標；但這不代表每個已安裝的 App 都能被入侵，也不等於所有驗證措施都能被繞過。4513