【安全圈】ClickFix 木馬借人機驗證系統實施新型網絡攻擊，竊取用戶信息

關鍵詞

木馬

據科技媒體 Tech Spot 今天報道，隨著假期旅行季臨近，各大酒店預訂平臺的訂單量激增，目前已有一種名為 ClickFix 的木馬現身互聯網，它可以無聲無息地在 " 我不是機器人 " 人機驗證系統頁面植入一段終端代碼，竊取密碼、身份令牌等。

據介紹，這種木馬在前期誘騙手段本質上是使用了社會工程學攻擊，黑客通常會將人機驗證頁面嵌入釣魚網站中，其外觀看起來與常見的 Cloudflare、reCAPTCHA 驗證頁面別無二致，但這些偽造的頁面都會指使受害者將一段短字符串粘貼到電腦的終端（IT 之家注：Terminal）里。

顯然，資深的計算機用戶都能知道將一段字符敲進終端里意味著什么，但一般情況下普通用戶完全不知道他們在終端里按下回車會有什么后果，這些用戶一般都會對 " 熟悉事物 " 保持天然信任感，并低估這段終端命令的破壞性。

從原理分析，用戶執行這串惡意指令后，木馬就會觸發遠程腳本、靜默拉取并安裝惡意載荷，這些可執行文件均為 Mach-O 格式，一段時間后就會部署名為 Shamos 的憑證竊取器，還能將受感染設備加入黑客的 " 肉機 " 列表，同時還會修改 macOS 的系統偏好設置，確保重啟后仍能永久駐留。

值得注意的是，這種木馬還會利用蘋果 macOS 的 Gatekeeper 框架，完全繞過系統的應用完整性檢測，使整個植入木馬過程看似完全 " 合法 "，系統不會發出任何明顯提示，全程不會有任何提權輸入密碼窗口，也不會有 "xxx.App 已損壞 "、"xxx.App 不安全 " 等任何警告彈窗。

這其中最可怕的地方就在于，黑客偽造的人機驗證頁面與正版的沒有任何區別，完全可以輕松騙過不熟悉電腦的用戶，讓他們言聽計從地將惡意終端命令輸入進 Windows 終端或 macOS 終端。

研究人員還指出，這種漏洞目前已經衍生出新版本，可在投放載荷前檢測操作系統，可根據用戶的電腦操作系統類型自動投送 Windows 二進制文件或 macOS Mach-O 文件，一旦用戶的電腦中毒，那電腦里已經保存的密碼、加密貨幣錢包憑證、企業環境認證令牌都會被遠端的黑客竊取走。

不過該漏洞也顯示出現階段黑客往往利用 " 組合拳 " 打法，而不是單純地秀肌肉，目前這些人的攻擊手段已沒有什么特別高的技術門檻，轉為利用計算機用戶對熟悉平臺的信任感實施社會工程學攻擊。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！