近期網路安全研究機構 Huntress 揭露了一種新型態的 ClickFix 社交工程攻擊，該攻擊專門針對 macOS 使用者，旨在部署一種基於 Go 語言編寫的資訊竊取軟體。這類攻擊最危險之處在於其內建的加密貨幣掏空機制，能精準地將受害者的數位資產轉移至攻擊者控制的錢包中。
背景與攻擊路徑
ClickFix 是一種新型的社交工程手法，其核心在於欺騙使用者將一段惡意指令複製並貼上到系統的終端機（Terminal）中。通常攻擊者會利用偽造的系統錯誤訊息或驗證頁面，誘導使用者相信執行該指令可以修復問題或完成驗證。
在 macOS 的感染鏈中，受害者一旦在終端機執行指令，會立即觸發一個 Bash 剖析程式（Profiler/Loader）。這個腳本會首先對主機進行環境偵測，收集詳細的系統資訊，隨後根據受害電腦的 CPU 架構（例如 Intel 或 Apple Silicon），從遠端伺服器下載對應的 Mach-O 執行檔（macOS 的標準可執行檔案格式）。這種動態適配機制確保了惡意軟體能在不同硬體的 Mac 電腦上穩定運行。
核心功能與技術特徵
該惡意軟體主要扮演資訊竊取者（Infostealer）的角色，能夠抓取瀏覽器儲存的密碼、Apple iCloud Keychain（蘋果金鑰鏈，用於儲存密碼與憑證的系統工具）以及快取憑證，並將這些敏感資料傳送到遠端指令控制伺服器（C2 Server）。
為了獲取更高權限以讀取受保護的系統檔案，該軟體會利用社交工程技巧，彈出一個偽裝成系統錯誤的假視窗，聲稱需要修復損壞的系統檔案，藉此誘導使用者輸入管理員密碼，完成權限提升（Privilege Escalation）。
最令研究人員關注的是其內建的 DRAIN（掏空）常式。與以往一次性轉移所有資產的竊取軟體不同，此惡意軟體能針對不同類型的加密貨幣（包括 Bitcoin, Litecoin, Dogecoin, Monero, Ethereum 與 XRP）執行精準的轉移。它甚至包含一套計算邏輯，可以計算出錢包中 1% 的資產價值，並選擇性地分批轉移，而非一次清空，這種手法旨在降低受害者的警覺性，延緩被發現的時間。
基礎設施與整體威脅脈絡
根據分析，部署惡意載荷的暫存伺服器與 C2 伺服器均指向 Aeza Group 的基礎設施。這是一家俄羅斯的防彈主機（Bulletproof Hosting）提供商，因協助網路犯罪分子而受到美國、英國及澳洲的制裁。
ClickFix 攻擊目前已演變成一種多樣化的框架，除了針對 macOS，在 Windows 環境中也有多種變體。例如，部分攻擊會濫用 Windows 合法的 Program Compatibility Assistant（程式相容性助手，pcalua.exe）來繞過父行程偵測，透過 PowerShell 與 WMI（Windows 管理工具）掛載遠端 WebDAV 分享來載入惡意 DLL 檔。另一些變體則利用 WebAssembly（wasm）模組與 SVG 圖片的隱寫術（Steganography）來規避網路層級的偵測，將惡意指令隱藏在看似正常的圖片檔案中。
影響與限制
這次發現顯示出攻擊者正將社交工程與高度自動化的環境偵測相結合。透過伺服器端的瀏覽器指紋識別（Browser Fingerprinting）與硬體驗證，攻擊者能篩選掉安全研究人員的沙箱（Sandbox）或自動化分析工具，僅向真正的目標用戶提供惡意內容。
對於使用者而言，最大的風險在於對系統終端機的過度信任。一旦使用者被誘導執行未知指令，傳統的防毒軟體可能難以攔截這種由使用者主動觸發且動態下載的攻擊鏈。然而，這類攻擊仍依賴於使用者的操作失誤，若能強化對貼上未知指令的警覺性，並維持系統更新，可有效降低被感染的風險。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。