恶意广告通过伪造文本分享站点传播AMOS malext窃密木马来针对macOS用户

一场大规模恶意广告攻击正针对 macOS 用户展开：攻击者利用伪造的谷歌广告，将用户导向恶意文本分享网站，并投放名为 malext 的 AMOS 窃密木马变种，窃取浏览器凭证、加密货币钱包等敏感数据。

可疑的密码输入弹窗暴露了此次攻击，关联到的初始域名包括：

optimize-storage-mac-os.medium.com、octopox.com、vagturk.com。

谷歌广告库显示，超过 34 条广告伪装成 Medium 文章进行诱骗，攻击者在账号被封后会迅速更换新账号。

分析发现至少 53 个被入侵的广告账号，其中甚至有账号同时推广邮轮广告与虚假 macOS 修复工具。

类似恶意广告还出现在 Evernote、mssg.me、kimi.com 等平台。

安全研究者 @itspappy 与 Gi7w0rm 在一次险些中招的事件后揭露了该攻击链：

一名用户搜索 macOS 存储修复工具时，点击了谷歌置顶结果，进入一篇伪造的 Medium 文章，其中包含恶意 Shell 命令。

诱饵页面高度模仿 macOS 故障排查指南或软件安装教程，标题类似 “此方法可修复 X 问题”，并诱导用户复制粘贴终端命令。

攻击链使用 Base64 混淆的 curl 命令逐级下载载荷，并通过 xattr -c 移除隔离属性，绕过 Gatekeeper 防护。

部分攻击链会通过循环弹窗骗取管理员密码，将密码保存在 ~/.pass，供后续提权使用。

这种社会工程学手段可在无系统告警的情况下提升载荷执行成功率。

攻击者下载的是同时支持 x86_64 与 ARM 架构的 Mach‑O 二进制文件。

样本通过混淆的 AppleScript 执行虚拟机 / 沙箱检测，使用 system_profiler 判断 QEMU/VMware 环境或异常硬件特征。

在 VirusTotal 运行的已修补样本中，暴露出一段超过 59000 字符的 osascript 载荷。

去混淆后可见代码使用凯撒密码加密字符串与随机变量名。

脚本会隐藏终端窗口，收集系统信息，并通过 malext.com 或 38.244.158.56 外发数据。

malext 作为 AMOS 变种，窃取范围极广：

该恶意软件的特殊之处在于：

单个 Mach‑O 文件内同时打包了两种不同 CPU 架构的攻击载荷。

malext 作为 AMOS 变种，窃取范围极广：

该恶意软件的特殊之处在于：

单个 Mach‑O 文件内同时打包了两种不同 CPU 架构的攻击载荷。

多项特征（com.finder.helper.plist、BuildID 头、/zxc 路径等）表明该家族属于 AMOS，而非 Odyssey。

该活动从 2025 年底开始活跃，依靠大量廉价一次性账号扩张，疑似由流量团伙运营。