ArcticRAT 最初是鎖定 11 款加密貨幣應用程式使用者的間諜軟體。Zimperium 於 2026 年 11 月 12 日公布的研究指出，這款 Android 遠端存取木馬（RAT）已增加新功能：透過 xAI 的 Grok，分析受感染手機上的應用程式清單與簡訊，協助攻擊者從大量遭竊資料中找出可能與金融活動有關的線索。研究中提到的 78 個樣本，是研究人員分析的惡意程式數量，並非已確認的受害者人數。47

從加密貨幣間諜軟體到多功能木馬

ArcticRAT 的變化不只是擴大目標應用程式範圍。Zimperium 在研究的不同版本中，總計記錄了 129 種指令；相關報導也提到隱藏式 VNC、鍵盤側錄、簡訊與通話控制、釣魚覆蓋畫面，以及偽裝成勒索軟體的鎖定畫面等功能。整體而言，它已成為具備監控和遠端操控能力的模組化工具，不再只是竊取加密貨幣應用程式資料的間諜程式。57

Grok 如何協助篩選遭竊資料

ArcticRAT 的 xAI_API 指令可將遭竊資料送交自動化分析。Zimperium 指出，指令啟動時，命令與控制伺服器會把 API 金鑰傳送至受感染裝置。相關報導指出，惡意程式呼叫的模型為 grok-4.20-0309-non-reasoning。75

技術分析報導描述了兩類提示任務：一類檢查已安裝的應用程式，尋找銀行、加密貨幣及交易服務；另一類則篩選簡訊，挑出一次性驗證碼、餘額變動和轉帳通知等內容。這可能讓操作者更容易判斷哪些資料值得優先查看，而不必逐一人工翻查大量訊息。5720

現有報導將這項功能的出現時間追溯至約 2026 年 7 月中旬。Zimperium 說明，加入這項功能的目的，是減少人工整理大量外流資料所造成的工作負擔。711

部分次級報導進一步聲稱，系統會推估受害者的財務狀況，並將 AI 分析結果儲存在裝置本機。不過，目前可查到的來源摘要，並未清楚證實輸出格式、儲存方式及資料交付細節，因此這些實作說法仍應審慎看待。1220

隱蔽控制與已報導的散布方式

AI 分析只是 ArcticRAT 整套裝置控制能力的一部分。報導指出，它會運用 Android 無障礙服務、隱藏式 VNC 及無線 ADB 進行監控與控制；其中一篇報導提到，受害者操作手機時可能只看到黑畫面。810

目前報導提及的散布方式包括仿冒 Google Play 的頁面，惡意程式載荷則託管於 AWS 儲存桶。現有來源並未證實所有其他被歸因於 ArcticRAT 的傳播途徑，因此不宜將那些方式一概視為已確認事實。5

樣本數代表什麼，又不代表什麼

Zimperium 表示，研究團隊分析了 78 個獨立樣本，其中包括 42 個下載器（dropper）與 36 個載荷（payload）。研究也記錄了 129 種不同指令，以及 21 個命令與控制（C2）IP 位址。這些數字反映研究人員分析的惡意程式及其基礎設施，不能用來推算實際感染裝置數量。7

為什麼這次演變值得注意

若惡意程式能辨識手機上安裝的金融應用程式，並從簡訊中篩出驗證碼或交易通知，威脅範圍就不再侷限於最初鎖定的加密貨幣應用程式。這代表受感染裝置上存在金融服務資料曝露的可能性，但不等於每款已安裝的應用程式都能被攻破，也不代表所有身分驗證防護都能遭到繞過。4513

ArcticRAT 最初是鎖定 11 款加密貨幣應用程式使用者的間諜軟體。Zimperium 於 2026 年 11 月 12 日公布的研究指出，這款 Android 遠端存取木馬（RAT）已增加新功能：透過 xAI 的 Grok，分析受感染手機上的應用程式清單與簡訊，協助攻擊者從大量遭竊資料中找出可能與金融活動有關的線索。研究中提到的 78 個樣本，是研究人員分析的惡意程式數量，並非已確認的受害者人數。47

從加密貨幣間諜軟體到多功能木馬

ArcticRAT 的變化不只是擴大目標應用程式範圍。Zimperium 在研究的不同版本中，總計記錄了 129 種指令；相關報導也提到隱藏式 VNC、鍵盤側錄、簡訊與通話控制、釣魚覆蓋畫面，以及偽裝成勒索軟體的鎖定畫面等功能。整體而言，它已成為具備監控和遠端操控能力的模組化工具，不再只是竊取加密貨幣應用程式資料的間諜程式。57

Grok 如何協助篩選遭竊資料

ArcticRAT 的 xAI_API 指令可將遭竊資料送交自動化分析。Zimperium 指出，指令啟動時，命令與控制伺服器會把 API 金鑰傳送至受感染裝置。相關報導指出，惡意程式呼叫的模型為 grok-4.20-0309-non-reasoning。75

技術分析報導描述了兩類提示任務：一類檢查已安裝的應用程式，尋找銀行、加密貨幣及交易服務；另一類則篩選簡訊，挑出一次性驗證碼、餘額變動和轉帳通知等內容。這可能讓操作者更容易判斷哪些資料值得優先查看，而不必逐一人工翻查大量訊息。5720

現有報導將這項功能的出現時間追溯至約 2026 年 7 月中旬。Zimperium 說明，加入這項功能的目的，是減少人工整理大量外流資料所造成的工作負擔。711

部分次級報導進一步聲稱，系統會推估受害者的財務狀況，並將 AI 分析結果儲存在裝置本機。不過，目前可查到的來源摘要，並未清楚證實輸出格式、儲存方式及資料交付細節，因此這些實作說法仍應審慎看待。1220

隱蔽控制與已報導的散布方式

AI 分析只是 ArcticRAT 整套裝置控制能力的一部分。報導指出，它會運用 Android 無障礙服務、隱藏式 VNC 及無線 ADB 進行監控與控制；其中一篇報導提到，受害者操作手機時可能只看到黑畫面。810

目前報導提及的散布方式包括仿冒 Google Play 的頁面，惡意程式載荷則託管於 AWS 儲存桶。現有來源並未證實所有其他被歸因於 ArcticRAT 的傳播途徑，因此不宜將那些方式一概視為已確認事實。5

樣本數代表什麼，又不代表什麼

Zimperium 表示，研究團隊分析了 78 個獨立樣本，其中包括 42 個下載器（dropper）與 36 個載荷（payload）。研究也記錄了 129 種不同指令，以及 21 個命令與控制（C2）IP 位址。這些數字反映研究人員分析的惡意程式及其基礎設施，不能用來推算實際感染裝置數量。7

為什麼這次演變值得注意

若惡意程式能辨識手機上安裝的金融應用程式，並從簡訊中篩出驗證碼或交易通知，威脅範圍就不再侷限於最初鎖定的加密貨幣應用程式。這代表受感染裝置上存在金融服務資料曝露的可能性，但不等於每款已安裝的應用程式都能被攻破，也不代表所有身分驗證防護都能遭到繞過。4513