【資安警報】蘋果使用者小心！假冒剪貼簿 App 暗藏盜密碼惡意程式 PamStealer

🚨 黑暗中的第二把鑰匙

在這個數位時代，我們以為自己掌控著電腦，卻不知道螢幕的另一端，有雙眼睛正在悄悄觀察你輸入的每一個密碼。今天，我要告訴你一個關於欺騙的故事——一個專門針對蘋果使用者的精密陷阱。

想像一下：你正在認真工作，需要一個好用的剪貼簿管理工具。Google 搜尋「Maccy」，點選看起來完全正常的網站，下載、安裝──一切看似順理成章。但你不知道的是，在你按下「開啟」的那一刻，你的密碼保險箱已經悄悄被開啟了一條縫隙。

🔍 誰在假冒？PamStealer 的獵物

根據資安公司 Jamf Threat Labs 的最新報告，一個名為 PamStealer 的新型惡意軟體正在瞄準搜尋開源剪貼簿管理工具「Maccy」的 Mac 使用者。這不是一般的病毒，而是一個用 Rust 程式語言編寫的「資訊竊取器」（Infostealer），專門從你的電腦中盜取最敏感的資料。

「我們將這款惡意軟體命名為 PamStealer，源自它的核心行為之一：透過 macOS 的可插拔認證模組（PAM）驗證受害者的登入密碼，然後再進行盜取。」Jamf Threat Labs 在報告中寫道。

這意味著什麼？這意味著駭客不僅要偷走你的密碼，還要先確認你是「對的人」——這是一種極度精密的獵人式攻擊。

🎭 完美偽裝：一步步引你入甕

讓我告訴你這場騙局是如何運作的：

第一步：假網站的真面目

攻擊者建立了一個與正版 Maccy 網站極度相似的假網站。當你在搜尋引擎輸入「Maccy」時，這個假網站可能會出現在廣告位置——是的，駭客正在購買 Google 廣告！根據 Jamf Threat Labs 主管 Jaron Bradley 的說法：「我們看到攻擊者購買 Google Ad 空間來引誘使用者下載這個惡意程式。最近我們也觀察到這類惡意廣告出現在 X（原 Twitter）平臺上。」

第二步：磁碟映像檔的陷阱

當你點選下載後，會得到一個 .dmg 檔案（磁碟映像檔）。表面上看起來沒問題，但裡面藏著一個邪惡的 AppleScript 檔案，名為「Maccy.scpt」。

第三步：偽裝成說明檔案的惡意程式

當你開啟這個檔案，它會顯示一段看似正常的操作說明，引導你使用蘋果的「指令碼編輯器」（Script Editor）來執行。但真正的惡意程式碼隱藏在檔案下方——就像一條偽裝成礁石的鯊魚，等待你毫無防備地靠近。

⚙️ 技術細節：為何這麼難防？

如果你以為有防毒軟體就安全了，那麼 PamStealer 的設計會讓你失望。

隱形下載第二階段Payload

一般惡意軟體會使用 curl 或 zsh 等常見指令工具來下載第二階段的payload，這些行為很容易被資安工具監控。但 PamStealer 使用 JavaScript for Automation 和原生的 macOS API，繞過了這些傳統監控方式。這就像是小偷不走大門，而是從通風管爬進來——保全系統根本不會注意到。

為蘋果晶向量身打造的精密武器

第二階段的 payload 是一個專為 Apple Silicon（M1/M2/M3 晶片）Mac 設計的 Rust 編譯執行檔。它會偽裝成 Finder 或 Software Update，讓你以為是正常的系統程式。

「它不會將配置資訊以明文儲存，而是從主機的指紋——包括 CPU 架構、地區設定、鍵盤配置和時區——衍生出一把金鑰，用來解開一個經過完整性檢查的加密配置，裡麵包含 payload URL 和安裝路徑。」Jamf 解釋道。

這意味著這個惡意軟體會先確認「獵物」是否符合預期。如果不對，它會安靜地關閉自己，彷彿從未來過。

💀 它能偷什麼？

一旦 PamStealer 成功安裝在你的 Mac 上，它能夠：

• 🔑 盜取瀏覽器帳密：所有儲存在 Chrome、Safari、Firefox 中的登入憑證
• 🔐 Keychain 資料：你以為最安全的鑰匙圈密碼
• 📋 監控剪貼簿：你複製的每一段文字、密碼、加密貨幣錢包位址
• 🖥️ 建立永續性：讓它在你的電腦裡「常駐」，每次開機都自動啟動
• 📡 遠端傳輸：使用加密通訊將竊取的資料送往遠端伺服器

但最可怕的是這個：它會等待。

⏰ 40分鐘的耐心獵人

感染後，PamStealer 不會立刻行動。它會耐心等待——最長可達 40 分鐘——然後突然彈出一個假的 Finder 視窗，要求你授予「完整磁碟存取權」（Full Disk Access）。

這是一個極為狡詐的心理陷阱。40 分鐘後，你早就忘記當初是為了什麼下載那個 App。你看到的是一個看似正常的 Finder 提示，要求一個看似合理的許可權。你會答應嗎？大多數人會。

一旦你點下「允許」，這頭惡狼就能アクセス你最私密的世界：

• 📧 Mail（郵件）
• 💬 Messages（訊息）
• 💾 Time Machine 備份

🌐 這不只是單一事件

Jamf 表示，他們觀察到類似的社交工程技術正在向其他平臺蔓延。

就在上週，該公司在 X 上發現了一個推廣「DynamicLake」的贊助廣告。這個廣告由一個經過驗證的 X 帳號發布，「增加了一層信任感」。點選後，使用者被重導向 dynamicmacisisland[.]com，並被要求開啟 Terminal 執行安裝指令。

「分析這個 payload 後，發現它是一個最新的 Atomic（MacSync）Stealer 變種。」

最近的類似攻擊還包括：

• 一個假冒的 OpenAI 倉庫，一度登上 Hugging Face 熱門專案榜首，最後分發了一個 Rust 資訊竊取器
• 一個惡意的 Visual Studio Code 擴充功能，GitHub 表示這暴露了約 3,800 個內部倉庫
• 名為「Shai-Hulud」的軟體供應鏈攻擊，瞄準 OpenAI 和 Mistral AI 等 AI 公司使用的開發工具

🛡️ 你該怎麼辦？

在這個充滿陷阱的數位叢林裡，知識就是最好的防禦武器。以下是我的建議：

1. 只從官方來源下載軟體：Mac App Store 是相對安全的港灣。對於開源軟體，請務必確認官方網站的網域。
2. 對廣告保持懷疑：搜尋結果中的「廣告」標籤可能通往地獄。學會識別合法的官方渠道。
3. 小心任何「指令碼編輯器」要求：正常 App 不會要求你用 Script Editor 執行東西。
4. 注意異常的許可權請求：如果一個簡單的工具突然要求「完整磁碟存取」，這是最大的紅旗。
5. 保持軟體更新：Apple 會持續修補安全漏洞。

截至目前為止，Jamf 尚未觀察到 PamStealer 在野外活躍的證據，但他們已將發現通知了 Apple。Apple 尚未對此作出回應。

🌙 結語：暗夜中的警鐘

故事走到這裡，你可能會問：蘋果電腦不是最安全的嗎？

是的，macOS 有許多內建的安全機制。但沒有任何系統是絕對安全的——尤其是當你自願開啟大門的時候。

PamStealer 教會我們一件事：在這個世代，最危險的不是看不見的病毒，而是那些偽裝成「幫手」的惡意程式。它們很有耐心，會等待，會偽裝，然後在你最不留意的瞬間，奪走你最重要的一切。

所以，下次當你在搜尋框輸入任何下載需求時，請記住：

並非每一個看起來像禮物的東西，都是禮物。

我是 Mystery Teller。記住，在數位暗夜裡，總有人在看著你。