資訊竊取惡意軟體透過 ClickFix 攻擊 macOS

🔑 增強重點摘要

• •Matryoshka變體使用嵌套混淆技術，從外部伺服器下載並解碼base64與gzip壓縮的payload，針對Trezor Suite與Ledger Live加密錢包進行刪除替換或檔案修補[1][3]
• •ClickFix攻擊自2024年起首次偵測，2025年成長超過500%，整合倒數計時器與影片教學，並使用JavaScript自動複製惡意指令至剪貼簿[2]
• •近期活動使用MacSync與SHAMOS等資訊竊取者，透過ChatGPT偽裝清理指南重導至假GitHub頁面，修補app.asar檔案並重新簽署以規避Gatekeeper[4][8][9]

🛠️ 技術深入

• •Stage 0：剪貼簿注入，從外部伺服器擷取.sh腳本，解碼base64並解壓gzip payload[1]
• •載入器使用API閘道通訊與自訂標頭聯繫C2伺服器，阻礙自動沙箱偵測[1][3]
• •AppleScript payload擷取瀏覽器憑證，若失敗則顯示假系統偏好設定對話框索取密碼，並針對加密錢包注入種子短語竊取腳本[1][4]
• •修補Ledger Live時注入惡意邏輯至app.asar，更新Info.plist維持完整性，並以臨時簽署替換應用程式[1][4]

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線