Lazarus分支BlueNoroff仿冒Protofire视频会议网站，结合AI换脸与ClickFix诱导，让Web3从业者执行curl命令在Mac安装木马；木马建立持久化，窃取Chrome凭据和会话，并劫持剪贴板替换加密钱包地址盗币。
“视频会议房间我建好了，你点这个链接就能进。”
发消息的人自称来自知名区块链公司Protofire，想约个会聊一下具体的项目合作细节。然而会议没一分钟就中断了，页面提示摄像头驱动版本过旧，需要更新。开始还以为是什么bug，然而一连三次重新进入都是如此。
注：目前会议链接已过期
最后只好照着页面教程，把一条命令复制到终端里执行。结果摄像头没有修好，木马却在Mac里跑了起来，还偷了虚拟币。
社工钓鱼+ClickFix：让受害者亲手装上木马
根据微步终端检测团队的分析，这是一起以金融盗窃为目标的钓鱼攻击，始作俑者是Lazarus旗下分支团队BlueNoroff。该团伙近期主要以视频会议为诱饵，针对Web3企业及相关从业人员进行渗透。其钓鱼流程主要包括三个步骤。
第一，仿冒protofire内部视频会议网站。
视频会议链接为：meetoa.protofire.org，其主站是仿冒了protofire这家知名区块链公司内部的视频会议服务，会议示例、聊天记录、注册登录一应俱全，隐私政策和服务条款都有。
网站构建好之后，会在Telegram、LinkedIn等平台上进行钓鱼，诱导受害者访问虚假会议链接。
第二，用AI换脸进一步加码。
会议不是一开始就没有画面，而是先用AI生成人脸伪装会议正常进行，短时间后再中断画面，这样用户会因会议已经开始而急于进行修复，增加钓鱼成功率。
第三，ClickFix手法诱导执行。
页面以"会议中断→修驱动"为由，让受害者复制curl -k命令粘贴到终端运行，下载恶意载荷，并且绕过macOS自带的软件签名验证。
以下为微步OneSEC检测到的详细攻击过程。
阶段一：curl下载脚本，Base64解出木马
将命令复制到终端执行后，会从driver.protofire.org下载一个伪装成"驱动修复"的脚本，其中-k参数专门用来跳过证书校验。
脚本运行后，从自身内嵌的Base64数据中解出两个程序：一个是伪装成"摄像头驱动"的木马videodriver，另一个是假冒"摄像头驱动更新"界面的诱饵应用。
阶段二：篡改配置，保证开机自启动及进程退出后重新拉起。
木马运行后会创建用户级LaunchAgent（启动项配置）：com.videodriver.update，然后以用户权限写入了两项配置，实现持久化驻留。
（1）RunAtLoad：确保每次开机后都可自动启动。
（2）KeepAlive：木马进程被退出后可以重新拉起，保持存活。
如下图，OneSEC检测到plist启动项执行异常路径的文件。
阶段三：窃取Chrome凭据与会话
木马读取Chrome浏览器多个用户目录下的Login Data（保存的账号密码库），并内置了Cookies窃取逻辑。一旦浏览器会话被窃取，攻击者甚至可以绕过双因素认证，直接登录受害者的各类账号。
阶段四：监控剪贴板，替换钱包地址
木马反复调用pbpaste读取剪贴板，内置多种加密货币钱包地址的匹配规则。一旦发现受害者复制了钱包地址，就替换为攻击者的地址，进而窃取用户的虚拟货币资产。
阶段五：主备多通道连接控制服务器
木马的控制服务器地址并不写死在程序里，而是由钓鱼页面通过启动参数传入。同时它还内置了备用控制通道，主服务器不可达时自动切换。OneSEC日志确认，失陷主机后续成功回连了备用C2（74.81.34.28:8008），并采集了主机序列号用于受害者画像。
总结：针对macOS钓鱼手法越来越花哨
从目前来看，针对macOS平台的钓鱼攻击，早已不是单纯的钓鱼站点或者邮件，而是一个完整的“剧本杀”，越来越难以防范。
诱饵正在产品化。仿冒网站不再是粗制滥造的单页，而是首页、会议示例、注册、隐私条款一应俱全的完整产品，几乎看不出破绽。
AI深度伪造技术制造紧迫感。AI不只用于钓鱼内容的撰写，而是深度参与整个钓鱼环节。AI换脸先让受害者确信会议是真的，再用"技术故障"和“事件进行中”等元素制造紧迫感，一步步诱导用户主动执行恶意命令。
复制粘贴也不可信。剪贴板替换钱包地址已是这类攻击的标配动作，粘贴后的地址可能已经是攻击者替换后的恶意地址了。
针对攻击者在macOS上的最新攻击手法，微步OneSEC会持续完善检测和响应能力，欢迎扫码联系试用。
·END·
原文始发于微信公众号（微步在线）：没顶住！用Mac开个视频会议，币被偷完了
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论