网络安全周刊#2：ClickFix及PowerShell驱动的恶意软件分发详解

安全焦点

本周，以ClickFix为代表的社会工程学策略持续成为恶意软件分发的重要手段，Atomic macOS Stealer (AMOS) 和 NetSupport RAT 等恶意软件均利用此类技巧诱骗用户执行恶意脚本。攻击者通过伪造合法网站（如电信服务商、Docusign、Gitcode）或使用虚假CAPTCHA验证，诱导用户复制粘贴并执行PowerShell或shell脚本，最终导致信息窃取或远程控制。

2. 重要资讯

2.1. 数据泄露与攻击事件

1. 新型Atomic macOS Stealer (AMOS)活动利用ClickFix针对苹果用户：
   
   据称与俄语网络犯罪分子有关的活动利用模仿美国电信提供商Spectrum的域名，通过ClickFix社会工程策略诱骗macOS用户下载并执行恶意shell脚本。该脚本旨在窃取系统密码并下载AMOS变种，以进行进一步的利用。
2. 新型数据擦除恶意软件PathWiper攻击乌克兰关键基础设施：
   
   一个位于乌克兰的关键基础设施实体遭到了一种前所未见的数据擦除恶意软件PathWiper的攻击。攻击据评估为一个与俄罗斯相关的APT组织所为，攻击者可能通过合法的端点管理框架获取了管理控制台的访问权限，并用其下发恶意命令、部署PathWiper。该恶意软件与HermeticWiper在功能上存在重叠。
3. 伊朗关联黑客组织BladedFeline使用Whisper和Spearal恶意软件攻击伊拉克和库尔德目标：
   
   与伊朗结盟的黑客组织BladedFeline（被认为是OilRig的子集群）在2024年初针对库尔德和伊拉克政府官员发起了一系列新的网络攻击。该组织使用定制后门如Whisper、Spearal和Optimizer，通过利用面向互联网应用的漏洞或鱼叉式钓鱼获取初始访问权限。
4. 热门Chrome扩展因HTTP传输和硬编码凭证泄露API密钥与用户数据：
   
   多款流行的Google Chrome扩展被发现通过HTTP明文传输敏感数据（如浏览域名、机器ID、操作系统详情、使用分析和卸载信息），并将API密钥、机密信息和令牌硬编码在代码中。受影响的扩展包括SEMRush Rank、Browsec VPN、MSN New Tab、DualSafe Password Manager等，使用户面临隐私和安全风险，包括中间人攻击。
5. 谷歌揭露针对Salesforce的Vishing组织UNC6040：
   
   一个被称为UNC6040的经济动机型威胁团伙，专门从事语音钓鱼(vishing)活动，旨在入侵企业Salesforce实例以进行大规模数据盗窃和后续勒索。攻击者冒充IT支持人员，诱骗员工授权其修改版的Salesforce Data Loader应用，从而获取对Salesforce客户环境的未授权访问。该组织表现出与网络犯罪集团The Com相关的特征。
6. 虚假Docusign和Gitcode网站通过多阶段PowerShell攻击传播NetSupport RAT：
   
   新的攻击活动利用欺骗性网站（伪装成Gitcode和Docusign）诱骗用户执行恶意PowerShell脚本，最终感染NetSupport RAT。这些网站通过ClickFix式CAPTCHA验证和剪贴板投毒等手段，诱使用户在Windows运行命令中执行初始脚本，进而下载并执行多阶段下载器脚本，最终部署RAT。
7. Android木马Crocodilus活跃于8个国家，针对银行和加密钱包：
   
    Android银行木马Crocodilus被发现已将其攻击范围扩大到欧洲和南美的8个国家，包括土耳其、波兰、西班牙、阿根廷、巴西、印度尼西亚和美国等。该恶意软件通过伪装成合法应用（如Google Chrome、在线赌场应用）进行传播，利用Facebook上的虚假广告作为分发途径，通过覆盖攻击窃取凭证，并滥用无障碍服务权限捕获加密钱包的助记词。

2.2. 漏洞预警与分析

1. 谷歌浏览器发现新的零日漏洞CVE-2025-5419并被积极利用：
   
   谷歌发布了紧急带外补丁，修复了其Chrome浏览器中的三个安全问题，其中包括一个高危的V8 JavaScript引擎中存在的越界读写漏洞CVE-2025-5419 (CVSS 评分8.8)，该漏洞已被发现在野外活动中被积极利用。建议用户升级至最新版本。
2. Roundcube Webmail存在长达10年的严重漏洞CVE-2025-49113：
   
   Roundcube Webmail软件中一个存在了十年的严重安全漏洞CVE-2025-49113 (CVSS 评分9.9)被披露。该漏洞是身份验证后通过PHP对象反序列化实现的远程代码执行，影响1.6.10及之前版本。已有报告称该漏洞在地下论坛出售并被积极利用。
3. 思科ISE身份验证绕过漏洞CVE-2025-20286影响云部署：
   
   思科修复了其身份服务引擎 (ISE) 中的一个严重静态凭证漏洞CVE-2025-20286 (CVSS 评分9.9)。该漏洞影响在AWS、Azure和OCI云平台上的ISE部署，允许未经身份验证的远程攻击者访问敏感数据、执行有限的管理操作或中断服务。已有PoC存在。
4. HPE StoreOnce修复严重身份验证绕过漏洞CVE-2025-37093：
   
   HPE发布了安全更新，修复了其StoreOnce数据备份和去重解决方案中的八个漏洞，其中包括一个严重的身份验证绕过漏洞CVE-2025-37093 (CVSS 评分9.8)。这些漏洞可被远程利用导致远程代码执行、信息泄露、SSRF等。
5. Chaos RAT管理面板存在命令注入和XSS漏洞：
   
   开源的Chaos RAT的管理面板被发现存在命令注入漏洞 CVE-2024-30850 (CVSS 8.8) 和跨站脚本漏洞 CVE-2024-31839 (CVSS 4.8)，这些漏洞可能被结合利用在服务器上以提升权限执行任意代码。漏洞已在2024年5月修复。
6. 其他值得关注的漏洞：
• HPE StoreOnce (除CVE-2025-37093外): CVE-2025-37089 (RCE), CVE-2025-37090 (SSRF), CVE-2025-37091 (RCE), CVE-2025-37092 (RCE), CVE-2025-37094 (文件删除), CVE-2025-37095 (信息泄露), CVE-2025-37096 (RCE)
• HPE Telco Service Orchestrator: CVE-2025-31651 (严重)
• HPE OneView: CVE-2024-38475, CVE-2024-38476 (均为严重)

2.3. 恶意软件与威胁情报

1. Atomic macOS Stealer (AMOS) 利用ClickFix传播：
   
   针对macOS系统的信息窃取恶意软件AMOS通过模仿Spectrum电信提供商的 typosquat 域名和ClickFix社会工程策略进行分发。
2. 数据擦除恶意软件PathWiper针对乌克兰：
   
   新型数据擦除恶意软件PathWiper通过合法的端点管理框架部署，旨在破坏乌克兰关键基础设施。其功能与HermeticWiper部分重叠。同区域，Silent Werewolf组织使用XDigo恶意软件针对俄罗斯和摩尔多瓦，亲乌黑客组织BO Team则针对俄罗斯企业，使用DarkGate、BrockenDoor、Remcos RAT和Babuk勒索软件。
3. BladedFeline组织针对中东目标：
   
   与伊朗相关的BladedFeline组织（OilRig子集群）使用Whisper、Spearal、Optimizer等后门以及Flog web shell和PrimeCache IIS模块，针对伊拉克和库尔德地区的政府官员及乌兹别克斯坦的电信提供商。
4. Chaos RAT针对Windows和Linux系统：
   
   基于Golang的开源RAT——Chaos RAT，通过伪装成网络工具（如NetworkAnalyzer.tar.gz）下载的方式，针对Windows和Linux系统进行攻击，常用于加密货币挖矿活动。
5. NetSupport RAT通过虚假网站传播：
   
   攻击者利用伪造的Docusign和Gitcode网站，结合ClickFix策略和多阶段PowerShell脚本，向受害者设备部署NetSupport RAT。
6. Android银行木马Crocodilus全球扩张：
   
   Crocodilus Android木马针对欧洲和南美多个国家（包括土耳其、波兰、西班牙、阿根廷、巴西、印度尼西亚、美国等）的银行和加密钱包用户。通过虚假Facebook广告和伪装应用传播，利用覆盖攻击和无障碍服务窃取凭证和助记词。
7. 恶意开源软件包持续泛滥：
• RubyGems:
  
   fastlane-plugin-telegram-proxy和fastlane-plugin-proxy_teleram，用于在越南Telegram被禁后，通过伪装的Fastlane插件代理窃取Telegram API令牌和消息。
• npm:
  
   xlsx-to-json-lh（代码擦除）、pancake_uniswap_validators_utils_snipe等多个包（窃取以太坊/BSC钱包资金）。
• PyPI:
  
   semantic-types等多个包通过猴子补丁窃取Solana私钥；solana-live等包窃取Python脚本和Jupyter Notebooks；colorama/colorizr的typosquat包传播针对Windows和Linux的RAT。
8. JINX-0132利用DevOps API进行加密货币挖矿：
   
   名为JINX-0132的攻击活动利用公开可访问的DevOps网络服务器（Docker, Gitea, HashiCorp Consul, Nomad）的已知错误配置和漏洞，部署XMRig等加密货币矿工。攻击者直接从GitHub下载工具以混淆归因。同时，Sysdig报告了利用错误配置的Open WebUI系统部署T-Rex和XMRig矿工的活动。
9. Scattered Spider持续利用服务台诈骗：
   
   以Scattered Spider为代表的威胁组织，通过电话联系公司服务台，利用社交工程手段重置凭证或MFA，从而实现账户接管。该组织还使用AiTM钓鱼工具包（如Evilginx）绕过MFA。

2.4. 网络犯罪与执法行动

1. 美国司法部查封与BidenCash暗网市场相关的145个域名：
   
   美国司法部宣布查封了约145个与非法银行卡交易市场BidenCash相关的明网和暗网域名，并没收了部分加密货币资金。该平台自2022年3月运营以来，为超过11.7万名客户提供服务，交易了超过1500万张支付卡信息，产生了至少1700万美元的收入。
2. 协助捣毁针对日本公民的技术支持诈骗呼叫中心：
   
   某大型科技公司协助执法部门捣毁了多个非法呼叫中心。这些呼叫中心被发现参与了针对日本公民的复杂跨国技术支持诈骗活动，诈骗者冒充微软等跨国公司的技术支持人员，诱骗受害者相信其设备受损，并胁迫他们将资金转入骡子账户。

2.5. 行业动态与政策

1. 谷歌Chrome将不再信任两家证书颁发机构：
   
   谷歌宣布，由于在过去一年中观察到的合规性问题和行为模式，Chrome浏览器将从Chrome 139版本（预计2025年8月初发布）开始，不再信任由Chunghwa Telecom和Netlock在2025年7月31日之后颁发的TLS服务器身份验证证书。
2. 微软与CrowdStrike合作推出共享威胁行动者术语库：
   
   为了减少在威胁行动者归因方面的混淆，微软和CrowdStrike宣布合作，通过发布新的联合威胁行动者映射来统一各自的威胁行动者分类法。此举旨在帮助安全专业人员更快地连接洞察并更有信心地做出决策。

3. 技术剖析

1. ClickFix及PowerShell驱动的恶意软件分发详解

本周多个攻击活动（如AMOS和NetSupport RAT传播）再次突显了ClickFix类社会工程学策略的有效性，这些策略通常结合PowerShell脚本执行，形成多阶段攻击链。

通用攻击流程：

1. 诱饵阶段：
• 攻击者创建或攻陷合法网站，并注入恶意内容，或直接创建伪造知名服务（如Docusign、Gitcode、电信服务商）的钓鱼网站。
• 这些网站通常通过鱼叉式钓鱼邮件、社交媒体或其他方式传播给目标用户。
2. 社会工程学交互 (ClickFix变体)：
• 剪贴板投毒：
  
  一个混淆的PowerShell或shell命令被秘密复制到用户的剪贴板。
• 直接指令：
  
  用户被明确指示打开命令行工具（Windows的运行对话框 `Win+R` 后输入 `powershell`，或macOS的终端），然后粘贴并执行一个提供的命令。
• 网站通常会显示一个虚假的CAPTCHA验证页面（“证明你不是机器人”）或错误信息，声称需要进行“替代验证”或“安全检查”。
• 当用户点击“我是人类”复选框或特定按钮时，可能会发生以下情况之一：
• 攻击者利用用户的“验证疲劳”，诱使其快速执行看似无害的步骤。
3. 初始脚本执行：
• 用户执行的命令通常是一个简短的、经过混淆的PowerShell（Windows）或shell（macOS）脚本。
• 该脚本的主要功能是从攻击者控制的服务器下载下一阶段的恶意载荷。例如，从 `tradingviewtool[.]com` 下载脚本，或从GitHub下载持久化脚本。
4. 多阶段下载与执行：
• 逃避初期检测。
• 根据目标环境动态调整攻击行为。
• 增加安全调查和清除的难度。
• 初始脚本可能会下载并执行一个或多个中间下载器脚本。这种分阶段的方法旨在：
• 例如，在NetSupport RAT的攻击中，初始PowerShell脚本下载持久化脚本，该脚本再与C2通信触发浏览器刷新，从而加载并执行第二阶段PowerShell脚本，最终下载并解压包含RAT的ZIP文件。
5. 最终载荷部署：
• 经过一系列下载和执行后，最终的恶意软件（如AMOS、NetSupport RAT）被部署到受害者系统上。
• 恶意软件随后开始执行其预定功能，如信息窃取、建立远程控制、加密货币挖矿等。
• 可能会采取持久化措施，如修改任务计划程序（如Linux的`/etc/crontab`）或创建登录时自动运行的项。

关键技术点：

• Typosquatting/域名仿冒：
  
  创建与合法服务相似的域名以增加欺骗性。
• 动态内容交付：
  
  C2服务器可以根据请求动态提供不同的脚本或载荷。
• 混淆与编码：
  
  脚本内容通常经过混淆或Base64编码，以躲避静态分析。
• 利用合法工具：
  
  最终载荷可能是合法的远程管理工具（如NetSupport Manager）被滥用。

这类攻击的成功依赖于利用人的信任和对常规网络操作的习惯性行为。防御此类攻击需要技术手段（如端点检测与响应、URL过滤）和持续的用户安全意识培训相结合。

2. 恶意开源软件包的隐蔽威胁手法

本周披露了多个针对PyPI, npm, 和RubyGems等开源仓库的供应链攻击事件，展示了攻击者植入恶意代码的多样化和隐蔽化手法。

手法一：功能劫持与数据窃取 (RubyGems - Telegram代理案例)

1. 背景利用：
   
   攻击者利用特定地区（如越南）对Telegram的封锁事件作为掩护。
2. 恶意包创建：
   
   发布名为 `fastlane-plugin-telegram-proxy` 和 `fastlane-plugin-proxy_teleram` 的恶意RubyGems包，伪装成流行的 `fastlane-plugin-telegram` 插件的代理版本。
3. 代码修改：
   
   恶意包对原插件代码进行微小但关键的修改，将所有通过Telegram API发送和接收数据的网络端点重定向到一个攻击者控制的服务器 (e.g., `rough-breeze-0c37.buidanhnam95.workers[.]dev`)。
4. 数据窃取：
   
   该服务器充当受害者与Telegram API之间的中间人，静默记录所有传输数据，包括机器人令牌、聊天ID、消息内容及附件。
5. 影响：
   
   主要针对CI/CD环境中通过Fastlane向Telegram发送通知的开发者，窃取敏感凭证和通信内容。

手法二：运行时代码修改与加密货币私钥窃取 (PyPI - Solana猴子补丁案例)

1. 包伪装：
   
   攻击者（别名cappership）发布如 `semantic-types` 等多个PyPI包，并创建对应的GitHub仓库和完善的README文件，以增强可信度。
2. 恶意代码植入：
   
   初次上传的包可能是良性的，恶意功能在后续更新中引入。
3. 猴子补丁 (Monkey Patching)：
   
   恶意代码在运行时动态修改Solana密钥生成相关函数的功能，而无需更改原始库的源代码。
4. 私钥捕获与加密：
   
   每当开发者使用受感染的库生成Solana密钥对时，恶意代码会捕获私钥，使用硬编码的RSA-2048公钥对其进行加密，然后进行Base64编码。
5. 数据外泄：
   
   加密后的私钥被嵌入到一个 `spl.memo` 交易中，并发送到Solana Devnet。攻击者可从Devnet检索这些交易并解密私钥，从而完全控制受害者的钱包。
6. 其他变种：
   
   如 `solana-live` 包，除了窃取私钥，还针对性窃取开发者的Python脚本文件和Jupyter Notebooks。

手法三：远程触发式代码破坏 (npm - xlsx-to-json-lh案例)

1. Typosquatting：
   
   恶意npm包 `xlsx-to-json-lh` 模仿合法的 `xlsx-to-json-lc` 工具。
2. 潜伏与C2连接：
   
   包内含有隐藏的载荷，在安装后会与一个C2服务器建立持久连接。
3. 远程触发：
   
   当C2服务器发出特定命令（如法语 "remise à zéro"，意为 "重置"）时，恶意功能被激活。
4. 破坏行为：
   
   激活后，恶意包会删除项目目录中的所有内容，包括源代码文件、版本控制数据（.git）、配置文件、node_modules（包括其自身）以及所有项目资产，且无法恢复。

这些案例表明，攻击者正采用越来越隐蔽和复杂的技术来污染开源软件供应链，包括利用地缘政治事件、模仿合法包、延迟恶意代码激活、运行时修改以及利用特定生态系统功能（如Solana交易）进行数据外泄。开发者需要更加警惕，并采用依赖项审查和行为监控等安全措施。

4. 工具与资源

1. Atomic macOS Stealer (AMOS):
   
    针对macOS系统的信息窃取恶意软件，通过ClickFix等社会工程学策略传播。
2. NetSupport RAT (NetSupport Manager):
   
    合法的远程管理工具，常被恶意行为者滥用于远程访问和控制受感染系统。通过虚假网站和PowerShell脚本传播。
3. Chaos RAT:
   
    一款用Golang编写的开源远程访问木马 (RAT)，支持Windows和Linux系统，常通过伪装成网络工具传播，并用于加密货币挖矿。其GitHub地址 (用于研究目的): https://github.com/tiagorlampert/CHAOS (注意：这是恶意软件源码，仅供研究)
4. PathWiper:
   
    新型数据擦除恶意软件，针对乌克兰关键基础设施。
5. Whisper (Veaty), Spearal, Optimizer:
   
    BladedFeline组织使用的定制后门，用于针对伊拉克和库尔德地区的目标。
6. XMRig:
   
    流行的开源加密货币（如门罗币）挖矿软件，常被恶意软件（如JINX-0132, BO Team相关活动）利用。
7. Cobalt Strike / Mythic:
   
    渗透测试和后渗透框架，被BO Team等APT组织用于攻击活动。
8. Fastlane:
   
    一款自动化iOS和Android应用部署的开源工具。其插件 `fastlane-plugin-telegram` 被恶意克隆用于窃取Telegram令牌。官方地址: https://fastlane.tools/
9. InboxSDK:
   
    一个用于构建Gmail扩展的第三方库，其某些版本中可能包含硬编码凭证，影响使用它的Chrome扩展（如Antidote Connector）。官方网站: https://www.inboxsdk.com/
10. Open WebUI:
    
     一个开源的Web用户界面，用于与本地运行的大型语言模型 (LLM) 交互。错误配置的实例可被利用来运行恶意代码（如加密货币矿工）。GitHub: https://github.com/open-webui/open-webui
11. Salesforce Data Loader:
    
     Salesforce提供的用于批量导入/导出数据的客户端应用程序。UNC6040组织使用其修改版本进行数据窃取。官方信息: https://developer.salesforce.com/tools/data-loader
12. Evilginx:
    
     一款中间人攻击框架，用于网络钓鱼攻击以窃取登录凭证和会话cookie，能够绕过2FA。被Scattered Spider等组织使用。GitHub (研究目的): https://github.com/kgretzky/evilginx2

5. 言论

1. "macOS用户会收到一个恶意shell脚本，旨在窃取系统密码并下载AMOS变种以进行进一步利用。该脚本使用本机macOS命令来收集凭证、绕过安全机制并执行恶意二进制文件。"—— Koushik Pal, CloudSEK (关于AMOS Stealer)
2. "执行这些有针对性攻击的行动者通常利用类似的技术、工具和程序 (TTP) 来获得初始访问权限。这些包括鱼叉式钓鱼攻击、路过式攻击或利用对GitHub等熟悉在线平台的信任来传递恶意载荷。"—— Darktrace (关于ClickFix策略)
3. "通过诱骗终端用户执行看似无害的日常操作，攻击者获得了对系统的初始访问权限，从而可以访问和泄露敏感数据。"—— Darktrace (关于ClickFix诱骗)
4. "现代互联网用户在网站上充斥着垃圾邮件检查、CAPTCHA和安全提示，他们已经习惯于尽可能快地点击通过这些内容。攻击者利用这种‘验证疲劳’，因为他们知道许多用户会遵守任何看起来常规的步骤。"—— Daniel Kelley, SlashNext (关于ClickFix和验证疲劳)
5. "通过合法的端点管理框架实施了攻击，表明攻击者可能已经访问了管理控制台，然后该控制台被用来发布恶意命令并在连接的端点上部署PathWiper。"—— Jacob Finn, Dmytro Korzhevin, and Asheer Malhotra, Cisco Talos (关于PathWiper)
6. "尽管凭证或密码似乎没有泄露，但密码管理器使用未加密请求进行遥测这一事实，削弱了对其整体安全态势的信任。"—— Yuanjing Guo, Symantec (关于Chrome扩展数据泄露)
7. "解决方案是：永远不要在客户端存储敏感凭证。"—— Yuanjing Guo, Symantec (关于硬编码凭证)
8. "过去几个月，UNC6040通过让其操作员在令人信服的电话社交工程活动中冒充IT支持人员，反复成功入侵网络。"—— Google (关于UNC6040 Vishing活动)
9. "有效的社交工程活动建立在广泛的侦察基础上。面对面社交互动的普遍性已经减弱，远程IT结构（如外包服务台）已使员工与外部或不太熟悉的人员互动正常化。因此，威胁行动者继续使用社交工程策略。"—— Nick Guttilla, Mandiant (关于Vishing威胁的技术分析)
10. "Chaos RAT是一个用Golang编写的开源RAT，为Windows和Linux系统提供跨平台支持。受到Cobalt Strike和Sliver等流行框架的启发，Chaos RAT提供了一个管理面板，用户可以在其中构建有效载荷、建立会话并控制受感染的机器。"—— Santiago Pontiroli, Gabor Molnar, and Kirill Antonenko, Acronis (关于Chaos RAT)
11. "此次活动说明了威胁行动者如何迅速利用地缘政治事件发起有针对性的供应链攻击。通过武器化像Fastlane这样广泛使用的开发工具，并将凭证窃取功能伪装在及时的‘代理’功能背后，威胁行动者利用了对包生态系统的信任来渗透CI/CD环境。"—— Kirill Boychenko, Socket (关于恶意RubyGems)
12. "这个包包含一个隐藏的有效载荷，它会与一个命令与控制 (C2) 服务器建立持久连接。当被触发时，它可以删除整个项目目录，而无需警告或恢复选项。"—— Kush Pandya, Socket (关于擦除代码的npm包)
13. "威胁行为者总是试图找到新的方法来向安全工具和安全分析师隐藏恶意负载。这一次，他们使用了机器学习模型，这是一种通过PyPI平台分发恶意软件的新方法。这是一种聪明的方法，因为安全工具才刚刚开始支持检测机器学习模型内部的恶意功能。"—— Karlo Zanki, ReversingLabs (关于PyPI中利用ML模型的恶意软件)