2026-07-05 05:19:24 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文作者经历了一起macOS剪贴板劫持攻击，起因是点击搜索广告链接并执行伪装成开发工具的恶意命令。恶意程序伪装成Apple系统组件并具有反虚拟机检测能力，持续监控并替换收款地址。作者使用Codex工具快速定位恶意启动项并分析攻击链。建议用户检查LaunchAgents等目录的可疑启动项，警惕搜索广告链接，转账前完整核对地址。 综合评分： 85 文章分类： 恶意软件,安全意识,实战经验,红队,渗透测试

cover_image

惊魂一夜：敲下回车键的瞬间，我的 Mac 差点沦为肉鸡

原创

维术维术

虚拟框架

2026年6月7日 02:11 中国香港

在小说阅读器读本章

去阅读

今天晚上，经历了一件让我直冒冷汗的事：我的 macOS 电脑剪贴板被人劫持了。

具体表现是：只要我复制一个收款地址，粘贴时就有概率变成另一个极其相似的地址。很多人转账前只会扫一眼地址的前几位和后几位，这就给了攻击者可乘之机。一旦转出去，基本就追不回来了。

我立刻启动了 codex 进行分析和定位，它没有让我大海捞针，而是快速锁定了系统里几个伪装成 Apple 系统组件的恶意启动项。那些名字看起来非常正常，类似：

• com.apple.accountsd.helper
• com.apple.metadata.mds.worker

乍一看完全是 macOS 自带服务，实际全都指向用户目录里的隐藏文件，并且会随着系统启动自动运行。即使重启，恶意程序也会再次复活，继续监控剪贴板。

关掉进程、禁用启动项只能解决眼前的问题，我更想知道两件事：

1. 它到底是怎么进来的？
2. 除了劫持剪贴板，它还干过别的吗？

因为我这台电脑平时从不关机，我们通过比对文件创建时间、系统日志，把中招时间精准锁定在了某天深夜。之后，我们围绕这个时间点交叉排查了终端历史记录和浏览器记录。

起初我怀疑过 Homebrew、npm 的供应链攻击，但 Codex 结合时间线逐一排除了这些可能。真正的突破口来自两个地方的对照分析：终端命令历史 和 浏览器搜索记录。

真相让我非常后怕：我当时在搜索引擎里输入了一个常用开发工具的名字，点进了结果里的一个广告链接。那个页面伪装成工具的官网下载页，做得几乎以假乱真。它没有给我一个正常的安装包，而是诱导我在终端里执行一条命令。命令表面看是在下载工具，实际却从另一个可疑域名拉取了恶意程序。我当时没有拆开命令逐字检查，直接回车了，然后就中招了。

事后 Codex 继续帮我分析了投递下来的恶意程序。它不是简单的脚本，而是一个带有反虚拟机检测的 macOS 原生可执行文件。如果发现自己在虚拟机或分析环境里，它甚至会主动停止运行，明显是一套相当成熟的攻击链。

这里还有一个让我非常震撼的小插曲：后续分析过程中，Codex 的能力真的让我有点惊讶。它现场写了 syscall / exec 拦截器，在受控环境里把恶意程序“喂”给 shell 的内容截了下来，也就是攻击者真正想投递的 payload。整个过程不超过五分钟。

这在过去几乎是不可想象的。以前要做到这一步，通常需要懂逆向、懂系统调用、会写调试工具，还要花不少时间反复试错。但现在，AI 可以在旁边帮你快速搭建分析工具，把攻击链一点点拆开。

这次经历给我敲了一记非常响的警钟。

作为开发者，我们早就习惯了 curl | sh 这类安装方式，久而久之就容易麻木。但这次的教训就是：不要因为一条命令看起来像安装命令，就默认它是安全的。 尤其是从搜索广告、第三方页面、群聊里复制来的命令。

如果你也是 macOS 用户，最近安装过 AI 工具、开发工具或金融类应用，强烈建议花一分钟自查一下系统启动项，重点关注这几个目录：