虚假的macOS故障排除帖子安装加密钱包窃取器

攻击者正在Medium、Craft和Squarespace上发布虚假的macOS故障排除指南。 其目的是让用户运行安装针对iCloud数据、保存的密码和加密钱包的恶意软件的终端命令。

微软Defender安全研究团队发布了这些发现。该活动自2025年底以来一直在运行。它利用Mac用户搜索帮助解决常见问题，如释放磁盘空间或修复系统错误。

这些页面没有提供合法的修复方法，而是告诉用户复制一条命令并粘贴到终端中。该命令会下载并运行恶意软件。

这些误导性的博客文章告诉读者复制一条恶意命令并粘贴到终端中。此命令会下载恶意软件并在受害者的计算机上运行。

这种技术被称为ClickFix。它是一种社会工程学手段，将运行有效载荷的责任转移给受害者。因为用户直接在终端中运行命令，macOS Gatekeeper永远不会检查有效载荷。

Gatekeeper通常检查通过Finder打开的应用程序包中的代码签名和公证，但这种方法完全绕过了它。

攻击者发起了三个目标相同的活动

微软发现了三个活动安装程序：

1. 一个加载器。
2. 一个脚本。
3. 一个辅助工具。

所有这三个都会收集敏感数据，建立持久性，并将窃取的信息泄露给攻击者的服务器。

恶意软件家族包括AMOS、Macsync和SHub Stealer。如果安装了其中任何一个恶意软件，它就会针对iCloud和Telegram账户数据。然后它会查找2 MB以下的私人文档和照片。并从Exodus、Ledger和Trezor中提取加密钱包密钥，窃取Chrome和Firefox中保存的用户名和密码。

安装后，恶意软件会弹出一个虚假对话框，并要求输入系统密码以安装“辅助工具”。如果用户输入密码，攻击者将获得对文件和系统设置的完全访问权限。

在某些情况下，研究人员发现攻击者删除了合法的加密钱包应用程序，并用旨在监控交易和窃取资金的木马版本替换了它们。

Trezor Suite、Ledger Wallet和Exodus是此次攻击的主要目标应用。

加载器活动还包括一个自毁开关。如果检测到俄语键盘布局，恶意软件将停止执行。

安全研究人员观察到攻击者使用curl、osascript和其他原生macOS实用程序直接在内存中运行有效载荷。这是一种无文件方法，使得标准防病毒工具更难检测。

攻击者针对加密开发人员

ANY[.]RUN的安全研究人员发现了一个名为“Mach-O Man”的 Lazarus Group 行动。黑客通过虚假会议邀请使用了相同的ClickFix技术。他们针对的是金融科技和加密机器，这些机器上常见macOS系统。

Cryptopolitan发布了关于PromptMink活动的报道。

朝鲜组织Famous Chollima通过AI生成的更改，将恶意npm包放入一个加密交易项目中。使用双层包方法，恶意软件获得了钱包数据和系统秘密的访问权限。

这两个活动都表明加密钱包数据很有价值。攻击者正在调整其交付方法，从虚假博客文章到AI辅助的供应链妥协，以获取这些数据。