Mac 使用者注意！你的剪貼簿 App 可能是假的
如果你最近在搜尋「Maccy」這個開源剪貼簿管理工具，千萬別亂下載！網路安全公司 Jamf Threat Labs 發現，有駭客正在透過假網站散發一個名為 PamStealer 的新型惡意軟體。這不是普通的病毒，它專門針對 Mac 使用者設計，能暗中竊取你的密碼、瀏覽器帳號資料，甚至加密貨幣錢包的金鑰。
更可怕的是，這個木馬程式會先假裝自己無害，等到安裝完成後才悄悄展開攻擊——而且整個過程幾乎不會觸發任何安全警告。
假 App 是怎麼跑到你的 Mac 電腦的？
整個攻擊流程是這樣的：
1. 假冒官網散發假安裝檔
駭客建立了一個長得跟官方網站極度相似的假網站，讓你以為自己在下載正版 Maccy 剪貼簿工具。當你下載並開啟那個磁碟映像檔（.dmg）時，裡面藏著一個名為 Maccy.scpt 的 AppleScript 檔案。
「我們追蹤這款惡意軟體為 PamStealer，因為它的核心行為之一，就是先透過 macOS 的可插拔認證模組（PAM）驗證受害者的登入密碼，然後才開始竊取資料。」Jamf Threat Labs 在報告中說明。
2. 偽裝成說明檔案誘騙使用者執行
當你開啟那個指令碼檔案，它會顯示一段看似正常的「使用說明」，告訴你要用 Apple 的 Script Editor 來執行它。但真正的惡意程式碼藏在檔案下方，你根本看不出來有問題。
3. 第二階段Payload暗中下載
一旦你執行了指令碼，惡意軟體會使用 JavaScript for Automation 和 macOS 原生 API 去下載第二階段的_payload_（就是真正的木馬程式），而且它刻意不使用常見的 shell 指令（如 curl 或 zsh），這樣安全軟體就很難監控到它的行為。
PamStealer 到底能偷什麼？
這款 Rust 語言寫的木馬程式會做以下事情：
- 竊取瀏覽器帳號密碼：包括 Chrome、Safari、Firefox 等瀏覽器儲存的登入憑證
- 盜取 Keychain 資料：macOS 系統鑰匙圈裡儲存的所有密碼
- 監控剪貼簿：你複製的任何內容——包括密碼、加密貨幣地址、信用卡號——它都看得到
- 建立永續性：讓自己每次開機都自動啟動，持續監控
- 遠端傳輸資料：用加密通訊把竊取的資料傳到駭客的伺服器
進階滲透：假 Finder 提示要求授權
更陰險的是，這個木馬甚至會在感染後 40 分鐘才跳出假的 Finder 提示，要求你給予「完整磁碟存取許可權」。因為時間差太大，大多數使用者根本不會把這個提示跟當初下載的 App 聯想在一起。一旦你點選同意，惡意軟體就能存取你的 Mail、訊息、甚至 Time Machine 備份。
駭客如何讓你上鉤？社群工程手法大公開
「在許多木馬程式中，我們看到攻擊者購買 Google 廣告空間來引誘使用者下載假 App。最近我們也觀察到有人在 X（原 Twitter）上投放惡意廣告。」Jamf Threat Labs 總監 Jaron Bradley 對 Decrypt 表示。「這些社群工程技巧已被證明非常有效。」
舉例來說，上週 Jamf 就在 X 上發現一個贊助廣告宣傳一個名為 DynamicLake 的軟體，點選後會把你帶到 dynamicmacisisland[.]com，然後指示你開啟 Terminal 執行安裝命令。這個廣告還是透過經過驗證的 X 帳號發布的，讓人更容易放下戒心。
分析這個 payload 後發現，它其實是 Atomic（MacSync）Stealer 的變體——專門針對 Mac 使用者的竊密工具。
如何判斷自己是否已經中招？
如果你符合以下情況，可能已經成為目標：
- 近期曾經搜尋並下載「Maccy」或其他剪貼簿工具
- 發現瀏覽器自動填入功能突然失效
- 剪貼簿內容會被不明程式存取（系統可能會彈出授權提示）
- 加密貨幣錢包突然無法訪問，或轉帳紀錄有異常
如何防範假 App 入侵？必學自保攻略
好訊息是，Jamf 表示目前還沒有看到 PamStealer 在野外活躍的證據，但攻擊者隨時可能開始大規模散播。以下是你現在就能做的防護措施：
1. 只從官方管道下載軟體
Mac App Store 或軟體官方 GitHub 是最安全的下載點。不要透過搜尋引擎廣告或來路不明的網站安裝工具。
2. 檢查網站網域是否正確
真正的 Maccy 官網網域是確定的，如果看到類似的拼寫或奇怪的網域（例如多一個字母），千萬別點。
3. 別亂給「完整磁碟存取權」
當任何程式要求這個許可權時，先問自己：「這軟體真的需要這個許可權嗎？」尤其是剪貼簿工具，原則上不應該需要這麼高的許可權。
4. 開啟 macOS 內建的安全防護
確保「安全性與隱私權」設定中的「App Store 與已識別的開發者」選項沒有被關閉。
5. 定期檢查正在執行的程式
開啟「活動監視器」，看看有沒有不認得的程式在背景執行，尤其是看起來像 Finder 或 Software Update 的奇怪程式。
比較表：真 Maccy vs 假 PamStealer
| 特徵 | 正版 Maccy | 假 PamStealer |
|---|---|---|
| 下載來源 | GitHub 官方專案 / Mac App Store | 來路不明的假網站 |
| 安裝方式 | 標準 App 安裝流程 (.app) | 需要用 Script Editor 執行指令碼 |
| 許可權需求 | 基本剪貼簿存取 | 要求完整磁碟存取權 |
| 網路行為 | 無需網路連線 | 會悄悄連線到遠端 C2 伺服器 |
| 程式語言 | Swift / Objective-C | Rust（第二階段） |
常見問題 FAQ
Q1: 我已經下載了 Maccy，要怎麼確認是正版？
檢查你下載的來源網址。正版 Maccy 是開源軟體，通常從 GitHub（github.com/p0deje/Maccy）下載。如果你是從廣告或來路不明的網站下載的，建議立刻移除並重新從官方管道安裝。
Q2: PamStealer 會攻擊 Windows 電腦嗎？
目前發現的 PamStealer 是專門針對 Apple Silicon Mac 設計的 Rust 二進位制執行檔。但 Jamf 指出，類似的社群工程手法也在往其他平臺擴散，未來不排除會有 Windows 版本。
Q3: 我的防毒軟體沒有偵測到這個病毒，正常嗎？
這款木馬刻意不使用常見的 shell 指令（curl、zsh），而且會先檢查執行環境是否符合目標才啟動攻擊。這些技術讓傳統防毒軟體很難偵測到它。安裝來自 Jamf、Intego 等專門針對 Mac 的安全工具會更有保障。
Q4: 如果已經給了完整磁碟存取權，該怎麼補救？
立即前往「系統偏好設定」>「安全性與隱私權」>「隱私權」>「完整磁碟存取權」，找出那個假程式並移除它的許可權。然後使用 Malwartbytes for Mac 或其他清除工具完整掃描系統。
Q5: 加密貨幣錢包會被盜走嗎？
是的。PamStealer 能監控剪貼簿並竊取 Keychain 資料，如果你曾經複製過加密貨幣錢包的助記詞或私鑰，理論上它都能偷走。建議立刻將資產轉移到新的錢包，並更換所有相關密碼。
Q6: 這次事件跟之前的假 OpenAI 專案有關聯嗎？
都是同一個趨勢：攻擊者越來越喜歡把惡意軟體包裝成合法的開發者工具或熱門開源軟體。之前假 OpenAI 專案衝上 Hugging Face 熱門專案第一名，這次則是利用 Google 廣告和 X 贊助廣告來散佈。
網路威脅手法持續進化，但只要你只從官方管道下載軟體、不隨便給予系統許可權，就能避開大部分攻擊。如果這篇文章幫助你認識到這個新型威脅，別忘了分享給身邊的 Mac 使用者朋友！
🔍 相關標籤
#Mac資安 #PamStealer木馬 #剪貼簿病毒 #密碼被盜 #Mac安全 #惡意軟體 #加密貨幣防盜 #資安訊息
