新型Mac窃取程序"AMOS"冒充Loom，瞄准加密货币钱包
内容提要
一起针对Mac用户的复杂网络犯罪行动利用流行的屏幕录像工具Loom传播AMOS窃取程序。攻击者滥用谷歌广告引诱受害者访问假Loom网站。AMOS窃取程序可以提取敏感信息、窃取浏览器数据和清空加密货币钱包。该恶意软件还能克隆合法应用程序，绕过苹果应用商店的安全措施。攻击者还创建了其他应用程序的假冒版本。这次攻击活动由名为"Crazy Evil"的团伙进行，与俄罗斯网络犯罪活动有关。建议用户谨慎下载软件，验证URL，保护游戏账户，并使用安全软件检测和删除威胁。
延伸解读
攻击链的起点：谷歌广告与假网站
攻击者滥用谷歌广告，将搜索Loom的用户重定向到托管在smokecoffeeshop[.]com的假冒网站。该网站几乎完美模仿合法Loom页面，下载即安装AMOS窃取程序。这种手法利用用户对搜索广告和知名工具的信任，绕过常规警惕。读者需注意，即使通过搜索引擎访问，也应核对域名，避免点击广告中的软件下载链接。
AMOS的进化：从窃密到克隆应用
自2021年出现以来，AMOS不断更新，如今不仅能提取敏感信息、窃取浏览器数据和清空加密货币钱包，还能克隆合法应用。例如，它用恶意版本替换Ledger Live，从而绕过苹果应用商店的安全措施。这意味着即使从官方渠道下载过应用，也可能被本地恶意软件替换。用户应定期检查已安装应用，并使用安全软件扫描。
目标选择：游戏玩家与加密货币用户
攻击者创建了Figma、TunnelBlick和Callzy等流行应用的假冒版本，其中一个名为BlackDesertPersonalContractforYouTubepartners[.]dmg的虚假应用专门针对游戏社区，参考了Black Desert Online。游戏玩家常涉及数字资产和加密货币，因此成为常见目标。读者应警惕主动提供奖励或新游戏试用的信息，避免下载来源不明的游戏相关文件。
幕后团伙与防御建议
Moonlock Lab将攻击活动归因于名为“疯狂邪恶”（Crazy Evil）的团伙，其通过Telegram机器人沟通和招募，并与俄罗斯网络犯罪活动有关。防御方面，建议只从官方网站或Apple App Store下载软件，仔细验证URL，保护游戏账户，并使用信誉良好的安全软件检测和删除威胁。这些措施能降低感染风险，但无法完全消除，需保持警惕。
Q&A
AMOS窃取程序是如何传播的？
AMOS窃取程序通过假冒的Loom网站传播，攻击者利用谷歌广告引诱用户访问这些网站。
AMOS窃取程序的主要功能是什么？
AMOS窃取程序可以提取敏感信息、窃取浏览器数据和清空加密货币钱包。
攻击者是如何克隆合法应用程序的？
攻击者利用AMOS窃取程序克隆合法应用程序，绕过苹果应用商店的安全措施。
如何保护自己免受AMOS窃取程序的攻击？
用户应谨慎下载软件，验证URL，保护游戏账户，并使用安全软件检测和删除威胁。
与AMOS窃取程序相关的攻击团伙是什么？
该攻击活动由名为'疯狂邪恶'的团伙进行，可能与俄罗斯网络犯罪活动有关。
攻击者创建了哪些假冒应用程序？
攻击者创建了Figma、Tunnelblick和Callzy等应用程序的假冒版本。
