- Reaper 是一款通过 WeChat 和 Miro 的虚假下载页面传播的 macOS 信息窃取器。
- 该恶意软件针对 Ledger、Trezor 和 Exodus 等加密货币钱包、浏览器密码以及敏感文档。
- 这是不到两个月内第三次针对 Mac 用户发起的此类自动化 ClickFix 变体攻击活动。
一种名为Reaper的新型Mac恶意软件正通过WeChat和Miro等应用的伪造下载页面传播。一旦进入系统，它会窃取加密货币钱包数据和保存的浏览器密码。
这是旧把戏的更智能版本，过去曾欺骗人们将恶意命令粘贴到Terminal中。Apple在最近的一个macOS更新中修补了该漏洞，但Reaper找到了一种绕过它的方法，使用不同的内置Apple工具造成同样的损害。
Script Editor取代Terminal成为恶意软件表面
伪造的下载网站通过AppleScript触发Script Editor applescript:// URL。
恶意代码是不可见的。攻击者使用ASCII艺术和空白字符隐藏它。如果用户点击Script Editor中的播放按钮，他们会在不知不觉中运行隐藏的命令。
Script Editor预装在每台Mac电脑上。大多数人并不将其与病毒联系起来。
拼写错误域名和伪造的Apple更新建立信任
攻击始于对潜在受害者看起来合法的伪造域名。安全研究人员发现了托管在拼写错误Microsoft域名上的基础设施，包括 mlcrosoft[.]co[.]com.
一旦脚本运行，一个欺诈性的Apple安全更新对话框会提示受害者输入其计算机密码。
Reaper随后检查系统的键盘布局。如果键盘配置为俄语，恶意软件会停止。否则，恶意软件会激活一个基于Atomic macOS Stealer (AMOS)的数据窃取模块。
加密货币钱包、浏览器和文档均成为目标
Reaper针对桌面加密货币应用程序，包括Ledger Live、Trezor Suite和Exodus。恶意软件修改加密货币钱包的内部代码，以拦截未来的交易并重定向资金。
窃取器还从Chrome、Firefox和Edge中收集保存的凭据。它也从1Password和MetaMask等浏览器扩展中获取数据。
带有 .docx, .pdf, .xlsx, .wallet，以及 .keys 扩展名的文件在Desktop和Documents文件夹中被压缩成70MB的ZIP块，并上传到外部命令和控制服务器。
为了实现持久攻击，Reaper安装了一个伪装成Google Software Update目录的后门。
根据Moonlock的分析，Reaper是大约两个月内第三个采用这种自动化AppleScript方法的运动。
微软Defender安全研究团队记录了一系列相关的活动，涉及在Medium、Craft和Squarespace上发布的伪造macOS故障排除指南，Cryptopolitan此前已报道。
这些活动使用相同的ClickFix方法通过Terminal命令交付AMOS、Macsync和SHub Stealer。根据Cryptopolitan的说法，真正的钱包应用程序被删除并悄悄替换为恶意版本。
在安装任何新东西之前，请仔细检查下载链接。如果弹出窗口意外要求你的Mac密码，不要输入。一个好的安全工具会在脚本造成损害之前捕获混淆的脚本。如果网站告诉你打开Script Editor，请关闭标签页。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
常见问题
什么是 Reaper macOS 恶意软件？
Reaper 是 SHub Stealer 的更新版本，利用 Apple 的脚本编辑器执行隐藏的恶意代码。它会搜寻加密货币钱包、浏览器凭据和个人文档。
Reaper 针对哪些加密货币钱包？
Reaper 针对 Ledger Live、Trezor Suite 和 Exodus 桌面应用程序，以及 MetaMask 和 1Password 等浏览器扩展。
Reaper 如何绕过 Apple macOS 终端保护？
Reaper 跳过终端，使用 URL 方案打开脚本编辑器。恶意代码隐藏在可见屏幕下方的空白区域中，受害者会因点击播放按钮而无意中运行它。
Randa Moses
Randa Moses 是 Cryptopolitan 的编辑兼记者，专注于科技、人工智能、机器人技术、加密货币、诈骗及黑客攻击等领域的报道。自 2017 年以来，她一直活跃于加密货币领域，曾担任 Forward Protocol、AmaZix 和 Cryptosomniac 等公司的职务。Randa 拥有布拉德福德大学电气工程与电子工程学位。
