FlutterBridge 行动利用虚假谷歌广告传播 macOS 后门

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年6月9日 09:03
湖北

在小说阅读器读本章

去阅读

导读

FlutterBridge行动利用虚假谷歌广告和空壳公司部署FlutterShell，这是一个针对毫无戒心用户的新macOS后门。

Palo Alto 公司研究部门 Unit 42 发布的网络安全报告称，自 2025 年底以来，存在一起大规模的恶意广告骗局。在这起名为“FlutterBridge 行动”的骗局中，网络犯罪分子利用虚假谷歌搜索广告诱使 Mac 用户下载恶意软件。

根据Unit 42的调查，黑客最初设立了假公司，购买经过验证的谷歌广告并利用这些广告规避安全检查。当用户搜索工具时，这些广告会弹出并下载看似播客播放器或PDF浏览器的应用程序，实际上携带一个名为FlutterShell的恶意程序。

时间线与版本

这场活动背后是一个名为CL-CRI-1089的网络犯罪组织，研究显示该组织至少自2023年起就已活跃。该组织此前利用恶意广告手段，针对Windows用户发布了名为RecipeLister和Calendaromatic的假程序。

从2025年8月起，该组织转向苹果系统，发起了名为JSCoreRunner（又名FileRipple）的黑客活动。到2025年底，该组织升级使用更危险的FlutterShell。在他们最新的骗局中，研究人员在2025年底至2026年2月间捕获了三个不同版本：

版本1：一个名为PodcastsLounge的应用。

版本2：一个名为PDF-Brain的程序。

版本3：一款名为PDF-Ninja的应用，使用名为 –obfuscate 的功能来加密其代码。

为了研究该应用的工作原理， Unit 42 使用了一种名为blutter的专用软件工具。

攻击详情与恶意软件分析

FlutterShell 就像一个迷你网页浏览器，直接从互联网加载恶意代码。这使得攻击者可以随时改变软件的功能，而无需更新应用。

此时，攻击者利用这种权限劫持网页浏览器。FlutterShell 针对一个名为 Secure Preferences 的 Google Chrome 设置文件。它强制每个新标签页或搜索都经过一个充满广告的网站，使用名为 killall 的系统命令终止 Chrome 进程。然后用隐藏设置重启 Chrome，阻止 Chrome 显示错误警告。

FlutterShell 具有三大主要功能：任意命令执行、文件系统交互和环境变量外泄。它可以运行深度系统命令并窃取文件。

版本2和版本3甚至提供了一个假AI工具，可以总结文档。当用户上传文件时，应用会先将整份文件直接发送到骗子的服务器。研究人员也认为该技术仍在开发中。

“我们发现了几个尚未包含恶意代码的FlutterShell版本。此外，对攻击者基础设施上托管的JavaScript逻辑的检查发现了多个未完成的功能。这些发现，加上新变种的频繁出现，表明该恶意软件很可能正在积极开发中。“博客文章写道。