ClickFix攻擊手法持續演變 macOS用戶淪為資訊竊取目標

全球網絡安全格局正在發生深刻變化。Sophos X-Ops發布最新研究報告，揭示針對macOS用戶的ClickFix攻擊活動在過去五個月內出現三波重大演變，威脅組織不僅改變社交工程手法，亦持續提升惡意軟件能力。從假冒品牌網站到利用可信平台，再到針對加密貨幣錢包的精密攻擊，這一系列演變反映出威脅行為者正迅速適應蘋果生態系統的安全防護機制，同時暴露 macOS 用戶過去對資安風險的低估心態。

ClickFix作為一種社交工程技術，其運作原理是誘騙用戶複製並執行惡意終端機指令。對比傳統惡意軟件散播方式，這種手法利用了用戶對執行未知指令後果的認知不足，尤其在 macOS 環境中，由於用戶普遍相信該平台較為安全，更容易放下戒心。Sophos X-Ops 在追蹤過程中，發現攻擊者部署了名為 MacSync 的資訊竊取程式，而這類威脅的演進速度及複雜程度均令人憂慮。

首波攻擊：假冒OpenAI Atlas瀏覽器

2025年11月出現的首波攻擊，採用了相對直接的誘餌手法。威脅組織利用 Google 贊助網站，製作了一個冒充 OpenAI Atlas 瀏覽器的惡意網頁。當用戶搜尋「ChatGPT Atlas」時，會被導向託管於 sites.google.com 的頁面，外觀與官方網站極為相似。用戶點擊「下載 macOS 版本」按鈕後，系統會觸發終端機指令，隨即安裝 MacSync 資訊竊取程式。

這波攻擊代表的是結合假冒品牌與惡意終端機指令的基礎手法。攻擊者看準用戶對 AI 工具的興趣日益增加，以及對 OpenAI 產品的信任度，設計出具有說服力的陷阱。對於不熟悉終端機運作的用戶而言，整個過程看似正常的軟件下載安裝流程，卻在不知不覺間讓惡意程式成功入侵系統。

第二波攻擊：利用ChatGPT可信平台散播

到2025年12月，威脅組織策略出現明顯轉變，開始利用合法 ChatGPT 平台上的分享對話功能作為攻擊鏈的一環。這種手法利用了用戶對知名平台的信任，將惡意內容包裝成實用指南，再透過對話分享機制觸及潛在受害者。這些看似有用的對話實際上將受害者重新導向至惡意 GitHub 主題頁面。

Sophos 的調查揭示是次攻擊的規模相當驚人。截至2025年12月18日，跨多個網域共錄得29,180次點擊。攻擊者採用多項精密規避技術，包括透過 Telegram 即時追蹤受害者的互動情況，以及利用 Cloudflare CDN 防護作為掩護以逃避偵測。值得注意的是，硬編碼字串顯示操作者使用俄語，反映出這類攻擊活動的跨國性質。

這波攻擊標誌著令人憂慮的轉變：攻擊者開始利用一般用戶不會視為「高風險」的可信平台。ChatGPT 作為全球廣泛使用的 AI 工具，其平台上的內容往往被用戶假定為安全可靠，這種信任被攻擊者巧妙地武器化，成為散播惡意軟件的渠道。

第三波攻擊：針對加密貨幣錢包的進階威脅

2026年2月出現的最新攻擊波次，代表迄今為止最複雜的版本。Sophos 在比利時、印度及南北美洲均發現入侵案例，反映出攻擊範圍的全球化趨勢。此版本採用多階段載入器即服務模式，配備 API 金鑰管控的 C2 基礎設施，以及記憶體內執行技術，大幅提升隱蔽性與逃避偵測能力。

最關鍵的是，這波攻擊針對 Ledger 加密貨幣錢包應用程式進行精準打擊。攻擊者在合法應用程式中植入助記詞外洩腳本，並重新簽署以繞過 macOS 驗證機制。這意味著一旦用戶使用受感染的應用程式，其加密貨幣錢包將被立即清空，對加密貨幣用戶構成直接且嚴重的財務威脅。

這項演進顯示威脅組織不僅滿足於竊取個人資料或瀏覽器敏感資訊，更進一步將目標鎖定具有實際經濟價值的數碼資產。對於加密貨幣用戶而言，這種攻擊的後果是直接且不可逆轉的資金損失。

macOS安全神話不再

這一系列攻擊活動清楚表明，macOS 用戶面對的威脅環境正在發生根本性變化。從假冒品牌網站轉向利用 ChatGPT 等可信平台，結合日益成熟的技術能力，包括針對加密貨幣錢包的攻擊，種種跡象顯示威脅組織正迅速適應作業系統安全措施及用戶行為模式。

過去 macOS 風險低於 Windows 的普遍觀念已不再準確。主流惡意軟件，特別是資訊竊取程式，現在已經經常影響 macOS 用戶，並在 Sophos 遙測數據中佔據相當比例。Sophos 預期此威脅環境將持續快速演變，將繼續監察新變種、更新防護措施，以及在獲得數據時發布研究報告。

面對這些不斷演進的威脅，macOS 用戶必須提升安全意識，審慎對待任何要求執行終端機指令的行為，並避免從非官方渠道下載軟件。企業層面則應考虑加強端點防護機制，確保所有平台的用户都能獲得一致的資安防護。