没顶住！用Mac开个视频会议，币被偷完了

微步在线

2026年11月2日 08:30
北京

去阅读

“视频会议房间我建好了，你点这个链接就能进。”

发消息的人自称来自知名区块链公司Protofire，想约个会聊一下具体的项目合作细节。然而会议没一分钟就中断了，页面提示摄像头驱动版本过旧，需要更新。开始还以为是什么bug，然而一连三次重新进入都是如此。

注：目前会议链接已过期

最后只好照着页面教程，把一条命令复制到终端里执行。结果摄像头没有修好，木马却在Mac里跑了起来，还偷了虚拟币。

社工钓鱼+ClickFix：让受害者亲手装上木马

根据微步终端检测团队的分析，这是一起以金融盗窃为目标的钓鱼攻击，始作俑者是Lazarus旗下分支团队BlueNoroff。该团伙近期主要以视频会议为诱饵，针对Web3企业及相关从业人员进行渗透。其钓鱼流程主要包括三个步骤。

第一，仿冒protofire内部视频会议网站。

视频会议链接为：meetoa.protofire.org，其主站是仿冒了protofire这家知名区块链公司内部的视频会议服务，会议示例、聊天记录、注册登录一应俱全，隐私政策和服务条款都有。

网站构建好之后，会在Telegram、LinkedIn等平台上进行钓鱼，诱导受害者访问虚假会议链接。

第二，用AI换脸进一步加码。

会议不是一开始就没有画面，而是先用AI生成人脸伪装会议正常进行，短时间后再中断画面，这样用户会因会议已经开始而急于进行修复，增加钓鱼成功率。

第三，ClickFix手法诱导执行。

页面以\"会议中断→修驱动\"为由，让受害者复制curl -k命令粘贴到终端运行，下载恶意载荷，并且绕过macOS自带的软件签名验证。

以下为微步OneSEC检测到的详细攻击过程。

阶段一：curl下载脚本，Base64解出木马

将命令复制到终端执行后，会从driver.protofire.org下载一个伪装成\"驱动修复\"的脚本，其中-k参数专门用来跳过证书校验。

脚本运行后，从自身内嵌的Base64数据中解出两个程序：一个是伪装成\"摄像头驱动\"的木马videodriver，另一个是假冒\"摄像头驱动更新\"界面的诱饵应用。

阶段二：篡改配置，保证开机自启动及进程退出后重新拉起。

木马运行后会创建用户级LaunchAgent（启动项配置）：com.videodriver.update，然后以用户权限写入了两项配置，实现持久化驻留。

（1）RunAtLoad：确保每次开机后都可自动启动。

（2）KeepAlive：木马进程被退出后可以重新拉起，保持存活。

如下图，OneSEC检测到plist启动项执行异常路径的文件。

阶段三：窃取Chrome凭据与会话

木马读取Chrome浏览器多个用户目录下的Login Data（保存的账号密码库），并内置了Cookies窃取逻辑。一旦浏览器会话被窃取，攻击者甚至可以绕过双因素认证，直接登录受害者的各类账号。

阶段四：监控剪贴板，替换钱包地址

木马反复调用pbpaste读取剪贴板，内置多种加密货币钱包地址的匹配规则。一旦发现受害者复制了钱包地址，就替换为攻击者的地址，进而窃取用户的虚拟货币资产。

阶段五：主备多通道连接控制服务器

木马的控制服务器地址并不写死在程序里，而是由钓鱼页面通过启动参数传入。同时它还内置了备用控制通道，主服务器不可达时自动切换。OneSEC日志确认，失陷主机后续成功回连了备用C2（74.81.34.28:8008），并采集了主机序列号用于受害者画像。

总结：针对macOS钓鱼手法越来越花哨

从目前来看，针对macOS平台的钓鱼攻击，早已不是单纯的钓鱼站点或者邮件，而是一个完整的“剧本杀”，越来越难以防范。

诱饵正在产品化。仿冒网站不再是粗制滥造的单页，而是首页、会议示例、注册、隐私条款一应俱全的完整产品，几乎看不出破绽。

AI深度伪造技术制造紧迫感。AI不只用于钓鱼内容的撰写，而是深度参与整个钓鱼环节。AI换脸先让受害者确信会议是真的，再用\"技术故障\"和“事件进行中”等元素制造紧迫感，一步步诱导用户主动执行恶意命令。

复制粘贴也不可信。剪贴板替换钱包地址已是这类攻击的标配动作，粘贴后的地址可能已经是攻击者替换后的恶意地址了。

针对攻击者在macOS上的最新攻击手法，微步OneSEC会持续完善检测和响应能力，欢迎扫码联系试用。

联系微步

扫码申请试用

↓↓↓

·END·