窃取程序仿冒谷歌、微软和苹果，随后为macOS植入后门
# AI资讯摘要 **SHub Reaper窃取程序攻击手法升级** SHub Reaper是一款新型恶意窃取程序（Stealer），近期其攻击策略发生显著转变。该恶意软件此前主要依赖ClickFix社交工程技术进行传播和执行，现已转向采用基于Apple Script脚本的执行方式，标志着其攻击技术路线的重要演进。 **传播手段方面**，SHub Reaper采取高度隐蔽的伪装策略，将自身隐藏在虚假的微信（WeChat）和Miro等常用软件安装包中。通过冒充合法应用程序的安装程序，诱骗用户下载并执行恶意代码，从而绕过用户的安全警惕。 **技术要点方面**，该恶意软件从ClickFix社交工程模式转向Apple Script脚本执行，这一变化值得关注。ClickFix此前是一种常见的社工攻击手法，而转向Apple Script意味着攻击者正在探索新的执行路径，可能利用macOS系统原生脚本功能实现更隐蔽的恶意操作。 **影响层面**，该攻击手法的演进反映出恶意软件开发者持续在技术层面寻求突破，针对主流通讯和协作工具用户的定向攻击风险有所上升。微信和Miro作为广泛使用的应用，其虚假安装包的出现将对广大用户构成潜在威胁。
深度分析
深度解读：SHub Reaper窃密程序的新攻击范式
核心要点
SHub Reaper窃密程序近期通过伪装成微信和Miro等流行软件的安装包进行传播，其攻击手法出现了关键性转变：从依赖ClickFix社交工程诱导用户点击，转向使用AppleScript脚本实现自动化、隐蔽性更高的恶意代码执行。这标志着针对Mac系统的窃密攻击进入了更复杂的阶段。
背景与上下文
近年来，针对macOS平台的恶意软件数量和复杂度持续增长。攻击者长期使用社交工程（如伪装成合法软件）作为主要入侵手段，其中“ClickFix”模式（诱导用户复制粘贴恶意命令）是过去两年内的常见策略。然而，随着用户安全意识的提高和终端防护软件的加强，这类需要用户主动操作的手法成功率逐渐下降。
与此同时，AppleScript作为macOS系统内置的脚本语言，因其强大的系统控制能力（可模拟用户操作、操作文件和应用），长期被攻击者滥用，但直接通过它作为主要攻击载荷的窃密程序仍相对新颖。SHub Reaper的转变，正是攻击者为规避检测、提升成功率而进行的技术演进。
技术解读
攻击链的转变：
- 旧模式（ClickFix）：诱导用户访问虚假网站，声称需要“修复”问题，并要求用户复制一段命令到终端执行。用户参与度高，容易被安全教育或终端警告拦截。
- 新模式（AppleScript执行）：用户下载并运行伪装成微信或Miro的恶意安装包后，内部集成的AppleScript会自动执行。脚本可静默下载第二阶段载荷、窃取浏览器密码/加密货币钱包、监控剪贴板等，整个过程用户无感知，隐蔽性和自动化程度大幅提升。
创新点与差异：
- 利用合法脚本语言：AppleScript是系统原生组件，其活动容易被误认为正常操作，规避基于签名的传统杀毒检测。
- 降低用户交互门槛：仅需用户运行一次“安装程序”，后续攻击全自动完成，成功率更高。
- 供应链攻击思维：通过伪装成主流软件（如微信、Miro），利用用户对知名品牌和常用工具的信任，渗透效果更强。
影响与意义
- 对行业：推动安全厂商加强针对脚本行为分析和非典型安装包行为的检测能力，而非仅依赖特征码。也将促使苹果进一步强化App公证和Gatekeeper机制。
- 对开发者：软件分发安全受到挑战，官方渠道和代码签名的重要性再次凸显。开发者需更积极地举报仿冒程序。
- 对用户：提醒用户务必从官方渠道下载软件，对任何要求提供系统权限的“安装程序”保持警惕，即使它看起来像知名品牌。
- 短期变化：可能引发模仿攻击，其他窃密木马家族效仿该技术。
- 长期影响：推动macOS安全模型向更严格的脚本权限控制（如强化系统完整性保护SIP和用户同意机制）演进。
总结与展望
SHub Reaper的此次变种展示了网络攻击的持续进化：攻击者不断寻找新的技术杠杆（如合法脚本工具）和心理杠杆（如信任伪装），以绕过日益增强的防御体系。
未来值得持续关注：
- 该技术是否会扩散至其他恶意软件家族，形成一种新的攻击范式。
- macOS系统是否会引入针对AppleScript的更严格执行策略（例如默认禁用或强制用户批准）。
- 安全社区如何构建针对“合法工具恶意利用”（Living-off-the-Land Scripts, LotLS）的协同防御能力。
用户应始终保持软件更新，仅从可信来源安装应用，并对任何异常系统行为保持警觉。