macOS 上的 ClickFix 攻击:AppleScript 窃密程序、终端钓鱼和 C2 基础设施

macOS ClickFix 活动深度分析：MacSync Stealer 经混淆 Zsh 调用 AppleScript 投递、全程内存驻留，窃取密码、浏览器数据与加密钱包，文中附 IOC 与检测建议。

假冒 Homebrew 仿冒域名经 ClickFix 传播 Cuckoo Stealer：一阶段脚本以 dscl authonly 反复校验窃取真实凭据，二阶段为具备 LaunchAgent 持久化的 macOS 窃密/RAT，目标覆盖 20+ 加密货币钱包应用。

Hunt.io 通过 SpiceRAT 检测，将 Bitdefender SilkParasite 报告中跨恶意软件家族的共享基础设施，与中亚的能源、政府和电信目标关联起来。

ClickFix 大规模劫持 Facebook 会话：以“免费认证徽章”为饵，诱导创作者提交 c_user 与 xs 会话令牌；链路含 115 个页面与 8 个无服务器收集端点，标题 pivot 另发现 103 个相关主机名，失败时回退窃取备用码与密码。

macOS 大规模攻击活动：仿冒 Homebrew、TradingView、LogMeIn 的下载站诱导用户在终端粘贴 base64 命令，投递 Odyssey Stealer 与 AMOS；已识别 85+ 钓鱼域名，基础设施运营持续多年。

一起与 APT36 风格一致的 ClickFix 攻击仿冒印度国防部新闻稿门户:站点由 HTTrack 克隆、仅激活 2025 年 3 月一个链接,并按操作系统分发 PHP 页面,分别针对 Windows 与 Linux 用户投放载荷。