🏠IT之家•最新收集於 6h
偽造 Maccy 官網散佈 PamStealer 惡意軟體
💡重大安全警報：針對開發者工具的冒充攻擊正透過 PAM 機制繞過 macOS 安全防護。
⚡ 30-Second TL;DR
有什麼變化
黑客利用搜尋引擎競價排名推廣偽造的 Maccy 官網。
為什麼重要
此事件凸顯了針對開發者工具的供應鏈與冒充攻擊風險日益增加。提醒用戶務必驗證軟體簽章與下載來源。
下一步行動
實施嚴格的程式碼簽章驗證，並使用 EDR 工具監控 macOS 上未經授權的 PAM 認證請求。
誰應關注：Developers & AI Engineers
關鍵要點
- •黑客利用搜尋引擎競價排名推廣偽造的 Maccy 官網。
- •惡意軟體透過 AppleScript 觸發 macOS PAM 認證以獲取管理員權限。
- •PamStealer 偽裝成 Finder 以竊取並外傳用戶敏感數據。
🧠 深度解析
AI-generated analysis for this event.
🔑 增強重點摘要
- •Jamf Threat Labs 指出，該惡意軟體會利用 macOS 的 PAM（Pluggable Authentication Modules）機制，透過彈出偽造的系統密碼提示框來誘騙用戶輸入管理員憑證。
- •PamStealer 的攻擊鏈中包含一個名為 'maccy.dmg' 的惡意安裝包，該安裝包經過簽名，但使用的是被撤銷或濫用的開發者證書。
- •除了竊取數據，該惡意軟體還具備持久化機制，會將自身安裝至用戶的啟動項目中，確保在系統重啟後自動執行。
- •攻擊者不僅針對 Maccy，還被發現利用類似的 SEO 投毒手法偽造其他熱門開源軟體的官網，顯示這是一場針對 macOS 用戶的廣泛性攻擊行動。
- •該惡意軟體在竊取數據後，會將加密後的敏感資訊透過 HTTP POST 請求傳送至攻擊者控制的遠端伺服器（C2 Server）。
🛠️ 技術深入
- 惡意軟體架構：採用 Rust 語言編寫，利用其跨平台特性與低階系統呼叫能力，降低被靜態分析工具偵測的機率。
- 權限提升機制：透過 AppleScript 呼叫 'sudo' 指令並觸發 PAM 認證對話框，偽裝成系統更新或權限請求。
- 數據竊取路徑：針對 Chrome、Firefox、Brave 等瀏覽器的 Cookie、歷史記錄與密碼資料庫進行掃描，並定位加密貨幣錢包（如 MetaMask）的儲存路徑。
- 隱蔽技術：偽裝成 Finder 進程以規避活動監視器（Activity Monitor）的檢查，並透過修改 plist 檔案實現系統級別的持久化。
🔮 前景展望AI analysis grounded in cited sources
macOS 惡意軟體將更頻繁地利用合法開發者證書進行簽名。
隨著 Apple 對未簽名軟體的限制增加，攻擊者轉向濫用合法證書以繞過 Gatekeeper 的安全檢查。
搜尋引擎廣告（Search Ads）將成為 macOS 惡意軟體散佈的主要途徑。
SEO 投毒與競價排名能精準鎖定尋找特定工具的用戶，其轉換率遠高於傳統的釣魚郵件。
⏳ 時間線
2024-05
Jamf Threat Labs 首次公開揭露針對 macOS 的惡意軟體散佈活動，包括偽造熱門軟體官網的攻擊手法。
2024-06
安全研究人員確認 PamStealer 惡意軟體開始活躍，並針對 Maccy 等剪貼簿工具進行偽造官網攻擊。
📰
AI 週報
閱讀本週精選 AI 大事摘要 →
👉相關動態
AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： IT之家 ↗