حادثة · برنامج سرقة معلومات على macOS

Atomic macOS Stealer: ما يفعله على Mac وما كان Kilobat سيعرضه أو يحظره

Atomic macOS Stealer أو AMOS برمجية خبيثة يؤجرها المجرمون وينشرونها عبر صفحات تنزيل مزيفة وإعلانات البحث. بعد تشغيلها تطلب كلمة المرور، وتجمع عناصر سلسلة المفاتيح وبيانات المتصفح ومحافظ العملات المشفرة والملفات، وترسلها إلى خادم، غالبًا عبر HTTP غير مشفر إلى عنوان IP مباشر.

الوقت: منذ أبريل 2023تاريخ التحقق من المصادر: 1 نوفمبر 2026

باختصار

الحماية: محدودة
تحظر مواقع الاستدراج ومضيفي الحمولة وعناوين الخوادم الموجودة في قوائم التهديدات ذلك اليوم. تغير الحملات مضيفيها كثيرًا، ولا تكون العناوين الجديدة مدرجة بعد.
السؤال عن التطبيقات الجديدة: محدودة
في وضع السؤال يُعلَّق أول اتصال لتطبيق غير موقّع أو ملف تنفيذي في /tmp مع عرض الموقّع والمسار والوجهة. يُسمح لأداتي curl وosascript من Apple عند تفعيل السماح ببرامج Apple.
حركة بيانات التطبيقات: كان سيظهر
كانت قائمة التطبيقات ستعرض عملية برنامج السرقة بمسارها أثناء الرفع إلى عنوان مباشر عبر HTTP غير مشفر.
حارس الوكلاء: لم يكن ليساعد
تستهدف حملات AMOS الأشخاص لا الوكلاء. ينطبق حارس الوكلاء فقط على ما يبدأه وكيل ذكاء اصطناعي.

ما حدث

رصدت Cyble إعلانًا عن AMOS على قناة Telegram في أبريل 2023 مقابل 1,000 دولار شهريًا، مع لوحة ويب ومثبت صورة قرص. ولاحظت SentinelOne أن نشره متروك لمن يستأجره، ولهذا تتنوع الطعوم كثيرًا: مثبتات مزيفة وبرامج مقرصنة ونتائج بحث مدفوعة. ولقراءة سلسلة المفاتيح يطلب كلمة مرور المستخدم عبر مربع حوار AppleScript يبدو كطلب نظام.

وصفت Jamf Threat Labs نتائج مدفوعة لمتصفح Arc في 2024 تقود إلى موقع مشابه يقدم صورة قرص موقعة توقيعًا مخصصًا مع تعليمات للنقر بزر الفأرة الأيمن وفتحها متجاوزًا تحذير Gatekeeper. في يناير 2025 عرضت نتيجة مدفوعة لـ Homebrew العنوان الحقيقي لكنها قادت إلى brewe[.]sh المختلف بحرف واحد؛ ووثقت Moonlock أمر التثبيت الذي جلب AMOS من نطاق آخر بدلًا من مستودع Homebrew على GitHub. وقال قائد مشروع Homebrew إن الإعلان أزيل خلال أيام وإن هذه الإعلانات تتكرر.

تتجاوز حملات لاحقة خطوة التنزيل. تابعت Unit 42 صفحة مزيفة بعنوان «مجموعة أدوات macOS» في 2026، وكان إعدادها السريع أمرًا يُلصق في Terminal؛ فجلب نصًا برمجيًا جلب ملفًا تنفيذيًا حُفظ باسم /tmp/helper، وطلب كلمة المرور وجمع المحافظ وبيانات Telegram والمتصفح وzsh_history والمجلدات aws وgcloud وdocker. ووصفت Microsoft وصول AMOS في يناير 2026 كتطبيق مزيف، يثبت LaunchDaemon ويستطلع خادمه بحثًا عن أوامر. وأبلغت Moonlock عن حملة في مارس 2026 تنكرت في صورة أداة وكيل ذكاء اصطناعي باسم «Clearly AI».

التسلسل الزمني

أبريل 2023
يُباع AMOS على Telegram مقابل 1,000 دولار شهريًا (Cyble وSentinelOne).
مايو 2023
توثق SentinelOne نسخة ثانية وتشير إلى Google Ads كقناة توزيع.
أبريل 2024
تصف Jamf نتائج مدفوعة لمتصفح Arc تقود إلى مواقع تنزيل مزيفة.
17–20 يناير 2025
تقود نتيجة مدفوعة لـ Homebrew إلى موقع مشابه يجلب أمر التثبيت فيه AMOS (Moonlock).
يناير 2026
ترصد Microsoft وصول AMOS كتطبيق مزيف مع LaunchDaemon وحلقة أوامر.
مارس 2026
ينتحل AMOS هيئة أداة وكيل ذكاء اصطناعي لـ Mac (Moonlock نقلًا عن Intel 471 وCYFIRMA).
يوليو–أغسطس 2026
تشغّل Unit 42 إصابتين من صفحة تطلب اللصق في Terminal؛ ويختلف عنوان الخادم بينهما.

كيف بدا على الشبكة

الاتصال الأول تصفح عادي: نقرة إعلان ثم صفحة مشابهة. في نسخ اللصق تأتي الخطوة التالية من Terminal: تجلب curl نصًا برمجيًا من نطاق ثانٍ، غالبًا بعد فك ترميزه في الذاكرة (تصف Microsoft curl … | base64 -d | gunzip)، ثم يجلب النص الملف التنفيذي. وفي نسخ صور الأقراص يتصل التطبيق المفخخ بنفسه.

يحدث الجمع محليًا وبصمت. تُجهز البيانات تحت /tmp وتُضغط باستخدام ditto الخاصة بـ macOS في out.zip، وتُرسل بطلبات HTTP من نوع POST. رأت Jamf ملف zip بترميز base64 في متن الطلب؛ ورأت Microsoft طلبات POST إلى /log على عنوان IP مباشر مع ترويسات تحدد الإصدار والمستخدم؛ ورأت Unit 42 سلسلة طلبات POST إلى عنوان IP مباشر تنتهي عناوينها بـ stage=credentials وstage=browsers وstage=wallets وهكذا. بعد ذلك تستطلع نسخة LaunchDaemon العنوان /api/v1/bot/actions/<id> بحثًا عن أوامر.

معظم العمليات المعنية تخص macOS نفسه، وهي curl وosascript وditto، وتُشغّل من Terminal أو التطبيق المزيف، بالإضافة إلى الملف التنفيذي لبرنامج السرقة. وتؤكد Unit 42 أن نطاقاته وعناوينه وأسماء ملفاته تتغير كثيرًا.

المؤشرات

كما توثقها المصادر. النطاقات نصوص وليست روابط، وقد عُطلت صيغتها ([.]) حيث فعل المصدر ذلك. معظم هذه البنية اختفى منذ زمن: تساعد المؤشرات في فحص السجلات والملفات والحسابات القديمة، لا حظر حملات اليوم.

المؤشر	النوع	أين يظهر	ملاحظة
`brewe[.]sh`	النطاق	المتصفح	موقع Homebrew مشابه وراء نتيجة مدفوعة، يناير 2025 (Moonlock).
`hxxps://norikosumiya[.]com/brew/update`	عنوان URL	Terminal (curl)	المكان الذي جلب منه أمر تثبيت ذلك الموقع AMOS (Moonlock).
`aricl[.]net, airci[.]net`	النطاقات	المتصفح	مواقع تنزيل مزيفة لمتصفح Arc، عام 2024 (Jamf).
`alliai[.]com, alli-ai[.]pro, ai[.]foqguzz[.]com, day[.]foqguzz[.]com`	النطاقات	المتصفح والتطبيق المزيف	إعادة التوجيه وتنزيل AlliAi.dmg واتصاله الأول، يناير 2026 (Microsoft).
`hxxp://217.119.139[.]117/log`	عنوان URL على عنوان IP مباشر	جهاز Mac	تنزيل المرحلة التالية (`/d/…`) وتسريب البيانات عبر HTTP غير مشفر (Microsoft).
`getmacouscloud[.]com, ferncore13[.]com, grove-89[.]com`	النطاقات	المتصفح وTerminal (curl)	صفحة مجموعة الأدوات المزيفة ومضيف النص البرمجي والملف التنفيذي ومضيف ثالث تذكره Unit 42، عام 2026.
`161.35.146[.]120, 188.166.78[.]138`	عناوين IP	جهاز Mac	خادم عمليات رفع `stage=…` في 5 أغسطس و31 يوليو 2026 (Unit 42).
`clearl[.]co`	النطاق	المتصفح	أداة وكيل ذكاء اصطناعي مزيفة، Cleal_AI.dmg، مارس 2026 (Moonlock).
`/tmp/helper, /tmp/starter, /tmp/out.zip, /Library/LaunchDaemons/com.<random>.plist`	الملفات	جهاز Mac	الملف التنفيذي وملف plist والبيانات المجهزة وآلية استمرار نسخة يناير 2026 (Unit 42 وMicrosoft).

ما كان Kilobat سيعرضه أو يحظره

الحماية. يفحص Kilobat اتصالات كل تطبيق، بما فيها المتصفح وTerminal وcurl، مقابل قوائم HaGeZi Threat Intelligence Feeds للنطاقات وعناوين IP وHaGeZi Fake وURLhaus، ويرفض المدرج فيها مع تسمية التطبيق. كان سيحظر أي مضيف أو عنوان مدرج في ذلك اليوم، سواء صفحة أو حمولة أو خادمًا. عندما تحققنا في 1 نوفمبر 2026، لم يعد أي من المضيفين والعناوين في الجدول أعلاه مدرجًا: تزيل القوائم البنية التي توقفت عن العمل، ولا يمكن الآن التحقق مما إذا كان كل منها مدرجًا أثناء نشاطه.
السؤال عن التطبيقات الجديدة. عند تفعيل السؤال عن التطبيقات الجديدة في ملف Travel أو Work، يُعلَّق الاتصال الأول لتطبيق ليس له قاعدة بينما يعرض Kilobat موقّعه ومساره ووجهته. كان تطبيق غير موقّع أو موقّع توقيعًا مخصصًا من صورة قرص، أو ملف تنفيذي يعمل من /tmp، سينتظر إجابتك. وعند تفعيل السماح ببرامج Apple يُسمح بمرور curl وosascript من Apple.
حركة بيانات التطبيقات. تسمي قائمة تطبيقات Kilobat أدوات سطر الأوامر التي ليست جزءًا من macOS بمساراتها، فيبرز إرسال /tmp/helper للبيانات مع حجم الرفع والوجهة. ويعرض الاتصال بعنوان مباشر ذلك العنوان.

أين لم يكن Kilobat ليساعد

Kilobat ليس مضاد فيروسات. لا يمنعك من لصق أمر أو فتح صورة قرص أو كتابة كلمة المرور في مربع حوار مزيف؛ أبقِ XProtect وGatekeeper مفعّلين.
تحدث معظم السرقة قبل أي اتصال. تتم قراءة سلسلة المفاتيح وملفات تعريف المتصفح والمحافظ محليًا، ولا يمس الشبكة إلا الرفع الأخير.
لا تكون مواقع الاستدراج والخوادم الجديدة مدرجة في القوائم بعد. وجدت Moonlock أن جميع محركات VirusTotal لم تكتشف موقع أداة الذكاء الاصطناعي المزيفة أثناء نشاطه.
يُستخدم ما سُرق من أجهزة المهاجمين باستخدام ملفات تعريف الارتباط وكلمات المرور الخاصة بك، لذلك لا يظهر شيء آخر على Mac.
لا ينطبق حارس الوكلاء وسجل شبكة الوكلاء على البرامج التي تبدأها بنفسك من Terminal أو Finder.

تحقق من Mac الآن

ابحث عن عناصر بدء تشغيل لا تعرفها. استخدم AMOS com. متبوعًا بأحرف عشوائية.
```
ls -la /Library/LaunchDaemons /Library/LaunchAgents ~/Library/LaunchAgents
```
ابحث عن المجلدات المخفية التي عثرت عليها Unit 42 وسُميت لتبدو كأنها تخص Apple. لا توجد هذه المجلدات عادةً.
```
ls -la ~/Library/Application\ Support/.com.apple.accountsd ~/Library/Application\ Support/.com.apple.metadata.mds
```
ابحث عن الملفات المجهزة. يمسح macOS /tmp عند إعادة التشغيل، لذا فإن عدم العثور على شيء لا يثبت الكثير.
```
ls -la /tmp/helper /tmp/starter /tmp/out.zip
```
ابحث في سجل الصدفة عن أمر لُصق من صفحة ويب لتنزيل شيء وتشغيله.
```
grep -nE "curl .*\| *(ba|z)?sh|base64 -(d|D)" ~/.zsh_history
```
ثبّت Homebrew فقط بالأمر الموجود على brew.sh، والذي يجلب raw.githubusercontent.com/Homebrew/install/HEAD/install.sh. قبل تشغيل أي أمر تثبيت، تحقق من المضيف الذي ينزّل منه.
```
kilobat protect check example-download-host.com
```
فعّل السؤال عن التطبيقات الجديدة مع السماح ببرامج Apple، حتى تنتظر البرامج الجديدة موافقتك. راجع الحصول على موافقات للتطبيقات الجديدة.
```
kilobat settings new-apps ask
```
إذا وجدت علامات AMOS، فافترض أن كلمات المرور المحفوظة وجلسات المتصفح وسلسلة المفاتيح والمحافظ قد انكشفت. من جهاز آخر غيّر كلمات المرور وسجّل الخروج من الجلسات الأخرى وانقل العملات المشفرة إلى محفظة جديدة، ثم امسح macOS وأعد تثبيته بدلًا من الاعتماد على التنظيف.

الأسئلة

هل يوقف Gatekeeper برنامج AMOS؟

ليس عندما يُقنع الأشخاص بتجاوزه. رأت Jamf صور أقراص تطلب من المستخدمين النقر بزر الفأرة الأيمن وفتح التطبيق، ولا تعرض نسخ اللصق في Terminal تطبيقًا على Gatekeeper أصلًا. أبقه مفعّلًا على أي حال؛ فهو يوقف الكثير.

هل كان Kilobat سيحظر موقع Homebrew المزيف؟

فقط لو كان brewe[.]sh أو نطاق الحمولة على قوائم التهديدات أثناء عرض الإعلان لنحو ثلاثة أيام في يناير 2025. لا يمكن التحقق من ذلك لاحقًا، وهو غير مدرج الآن.

المصادر

تم التحقق في 1 نوفمبر 2026.

اعرف ما تتصل به وكلاؤك وتطبيقاتك

Kilobat تطبيق لشريط قوائم Mac يحدد التطبيق والعملية والوكيل وراء كل اتصال، ويبعدها عن المضيفين المعروفين بسوئهم، ويسجل الوجهات التي بلغتها كل جلسة وكيل.

تنزيل لـ Mac ↓

$ brew install seifip/kilobat/kilobat