---
title: "Atomic macOS Stealer: ما يفعله على Mac وما كان Kilobat سيعرضه أو يحظره"
url: "https://kilobat.app/ar/incidents/atomic-macos-stealer"
description: "كيف يصل AMOS إلى أجهزة Mac عبر إعلانات مزيفة وموقع Homebrew مزيف وصفحات تطلب اللصق في Terminal، وكيف يرسل البيانات إلى خوادمه، وما يستطيع Kilobat فعله وما لا يستطيع."
---

حادثة · برنامج سرقة معلومات على macOS

# Atomic macOS Stealer: ما يفعله على Mac وما كان Kilobat سيعرضه أو يحظره

Atomic macOS Stealer أو AMOS برمجية خبيثة يؤجرها المجرمون وينشرونها عبر صفحات تنزيل مزيفة وإعلانات البحث. بعد تشغيلها تطلب كلمة المرور، وتجمع عناصر سلسلة المفاتيح وبيانات المتصفح ومحافظ العملات المشفرة والملفات، وترسلها إلى خادم، غالبًا عبر HTTP غير مشفر إلى عنوان IP مباشر.

الوقت: منذ أبريل 2023 · تاريخ التحقق من المصادر: 1 نوفمبر 2026

## باختصار

- [الحماية](https://kilobat.app/ar/mac-malware-blocker): محدودة

  تحظر مواقع الاستدراج ومضيفي الحمولة وعناوين الخوادم الموجودة في قوائم التهديدات ذلك اليوم. تغير الحملات مضيفيها كثيرًا، ولا تكون العناوين الجديدة مدرجة بعد.
- [السؤال عن التطبيقات الجديدة](https://kilobat.app/ar/guides/recipes/approve-new-apps): محدودة

  في وضع السؤال يُعلَّق أول اتصال لتطبيق غير موقّع أو ملف تنفيذي في `/tmp` مع عرض الموقّع والمسار والوجهة. يُسمح لأداتي curl وosascript من Apple عند تفعيل السماح ببرامج Apple.
- [حركة بيانات التطبيقات](https://kilobat.app/ar/mac-bandwidth-monitor): كان سيظهر

  كانت قائمة التطبيقات ستعرض عملية برنامج السرقة بمسارها أثناء الرفع إلى عنوان مباشر عبر HTTP غير مشفر.
- [حارس الوكلاء](https://kilobat.app/ar/mac-malware-blocker): لم يكن ليساعد

  تستهدف حملات AMOS الأشخاص لا الوكلاء. ينطبق حارس الوكلاء فقط على ما يبدأه وكيل ذكاء اصطناعي.

## ما حدث

رصدت [Cyble](https://cyble.com/blog/threat-actor-selling-new-atomic-macos-amos-stealer-on-telegram/) إعلانًا عن AMOS على قناة Telegram في أبريل 2023 مقابل 1,000 دولار شهريًا، مع لوحة ويب ومثبت صورة قرص. ولاحظت [SentinelOne](https://www.sentinelone.com/blog/atomic-stealer-threat-actor-spawns-second-variant-of-macos-malware-sold-on-telegram/) أن نشره متروك لمن يستأجره، ولهذا تتنوع الطعوم كثيرًا: مثبتات مزيفة وبرامج مقرصنة ونتائج بحث مدفوعة. ولقراءة سلسلة المفاتيح يطلب كلمة مرور المستخدم عبر مربع حوار AppleScript يبدو كطلب نظام.

وصفت [Jamf Threat Labs](https://www.jamf.com/blog/infostealers-pose-threat-to-macos/) نتائج مدفوعة لمتصفح Arc في 2024 تقود إلى موقع مشابه يقدم صورة قرص موقعة توقيعًا مخصصًا مع تعليمات للنقر بزر الفأرة الأيمن وفتحها متجاوزًا تحذير Gatekeeper. في يناير 2025 عرضت نتيجة مدفوعة لـ Homebrew العنوان الحقيقي لكنها قادت إلى `brewe[.]sh` المختلف بحرف واحد؛ ووثقت [Moonlock](https://moonlock.com/macos-malware-homebrew-ads) أمر التثبيت الذي جلب AMOS من نطاق آخر بدلًا من مستودع Homebrew على GitHub. وقال قائد مشروع Homebrew إن الإعلان أزيل خلال أيام وإن هذه الإعلانات تتكرر.

تتجاوز حملات لاحقة خطوة التنزيل. تابعت [Unit 42](https://unit42.paloaltonetworks.com/atomic-macos-amos-stealer-activity/) صفحة مزيفة بعنوان «مجموعة أدوات macOS» في 2026، وكان إعدادها السريع أمرًا يُلصق في Terminal؛ فجلب نصًا برمجيًا جلب ملفًا تنفيذيًا حُفظ باسم `/tmp/helper`، وطلب كلمة المرور وجمع المحافظ وبيانات Telegram والمتصفح و`zsh_history` والمجلدات `aws` و`gcloud` و`docker`. ووصفت [Microsoft](https://techcommunity.microsoft.com/blog/microsoftsecurityexperts/hunting-infostealers---macos-threats/4494435) وصول AMOS في يناير 2026 كتطبيق مزيف، يثبت LaunchDaemon ويستطلع خادمه بحثًا عن أوامر. وأبلغت Moonlock عن حملة في مارس 2026 تنكرت في صورة أداة وكيل ذكاء اصطناعي باسم «Clearly AI».

## التسلسل الزمني

1. أبريل 2023

   يُباع AMOS على Telegram مقابل 1,000 دولار شهريًا (Cyble وSentinelOne).
2. مايو 2023

   توثق SentinelOne نسخة ثانية وتشير إلى Google Ads كقناة توزيع.
3. أبريل 2024

   تصف Jamf نتائج مدفوعة لمتصفح Arc تقود إلى مواقع تنزيل مزيفة.
4. 17–20 يناير 2025

   تقود نتيجة مدفوعة لـ Homebrew إلى موقع مشابه يجلب أمر التثبيت فيه AMOS (Moonlock).
5. يناير 2026

   ترصد Microsoft وصول AMOS كتطبيق مزيف مع LaunchDaemon وحلقة أوامر.
6. مارس 2026

   ينتحل AMOS هيئة أداة وكيل ذكاء اصطناعي لـ Mac (Moonlock نقلًا عن Intel 471 وCYFIRMA).
7. يوليو–أغسطس 2026

   تشغّل Unit 42 إصابتين من صفحة تطلب اللصق في Terminal؛ ويختلف عنوان الخادم بينهما.

## كيف بدا على الشبكة

الاتصال الأول تصفح عادي: نقرة إعلان ثم صفحة مشابهة. في نسخ اللصق تأتي الخطوة التالية من Terminal: تجلب `curl` نصًا برمجيًا من نطاق ثانٍ، غالبًا بعد فك ترميزه في الذاكرة (تصف Microsoft `curl … | base64 -d | gunzip`)، ثم يجلب النص الملف التنفيذي. وفي نسخ صور الأقراص يتصل التطبيق المفخخ بنفسه.

يحدث الجمع محليًا وبصمت. تُجهز البيانات تحت `/tmp` وتُضغط باستخدام `ditto` الخاصة بـ macOS في `out.zip`، وتُرسل بطلبات HTTP من نوع `POST`. رأت Jamf ملف zip بترميز base64 في متن الطلب؛ ورأت Microsoft طلبات `POST` إلى `/log` على عنوان IP مباشر مع ترويسات تحدد الإصدار والمستخدم؛ ورأت Unit 42 سلسلة طلبات `POST` إلى عنوان IP مباشر تنتهي عناوينها بـ `stage=credentials` و`stage=browsers` و`stage=wallets` وهكذا. بعد ذلك تستطلع نسخة LaunchDaemon العنوان `/api/v1/bot/actions/<id>` بحثًا عن أوامر.

معظم العمليات المعنية تخص macOS نفسه، وهي `curl` و`osascript` و`ditto`، وتُشغّل من Terminal أو التطبيق المزيف، بالإضافة إلى الملف التنفيذي لبرنامج السرقة. وتؤكد Unit 42 أن نطاقاته وعناوينه وأسماء ملفاته تتغير كثيرًا.

## المؤشرات

كما توثقها المصادر. النطاقات نصوص وليست روابط، وقد عُطلت صيغتها (`[.]`) حيث فعل المصدر ذلك. معظم هذه البنية اختفى منذ زمن: تساعد المؤشرات في فحص السجلات والملفات والحسابات القديمة، لا حظر حملات اليوم.

| المؤشر | النوع | أين يظهر | ملاحظة |
|---|---|---|---|
| `brewe[.]sh` | النطاق | المتصفح | موقع Homebrew مشابه وراء نتيجة مدفوعة، يناير 2025 (Moonlock). |
| `hxxps://norikosumiya[.]com/brew/update` | عنوان URL | Terminal (curl) | المكان الذي جلب منه أمر تثبيت ذلك الموقع AMOS (Moonlock). |
| `aricl[.]net, airci[.]net` | النطاقات | المتصفح | مواقع تنزيل مزيفة لمتصفح Arc، عام 2024 (Jamf). |
| `alliai[.]com, alli-ai[.]pro, ai[.]foqguzz[.]com, day[.]foqguzz[.]com` | النطاقات | المتصفح والتطبيق المزيف | إعادة التوجيه وتنزيل AlliAi.dmg واتصاله الأول، يناير 2026 (Microsoft). |
| `hxxp://217.119.139[.]117/log` | عنوان URL على عنوان IP مباشر | جهاز Mac | تنزيل المرحلة التالية (`/d/…`) وتسريب البيانات عبر HTTP غير مشفر (Microsoft). |
| `getmacouscloud[.]com, ferncore13[.]com, grove-89[.]com` | النطاقات | المتصفح وTerminal (curl) | صفحة مجموعة الأدوات المزيفة ومضيف النص البرمجي والملف التنفيذي ومضيف ثالث تذكره Unit 42، عام 2026. |
| `161.35.146[.]120, 188.166.78[.]138` | عناوين IP | جهاز Mac | خادم عمليات رفع `stage=…` في 5 أغسطس و31 يوليو 2026 (Unit 42). |
| `clearl[.]co` | النطاق | المتصفح | أداة وكيل ذكاء اصطناعي مزيفة، Cleal_AI.dmg، مارس 2026 (Moonlock). |
| `/tmp/helper, /tmp/starter, /tmp/out.zip, /Library/LaunchDaemons/com.<random>.plist` | الملفات | جهاز Mac | الملف التنفيذي وملف plist والبيانات المجهزة وآلية استمرار نسخة يناير 2026 (Unit 42 وMicrosoft). |

## ما كان Kilobat سيعرضه أو يحظره

- **[الحماية](https://kilobat.app/ar/mac-malware-blocker).** يفحص Kilobat اتصالات كل تطبيق، بما فيها المتصفح وTerminal وcurl، مقابل قوائم HaGeZi Threat Intelligence Feeds للنطاقات وعناوين IP وHaGeZi Fake وURLhaus، ويرفض المدرج فيها مع تسمية التطبيق. كان سيحظر أي مضيف أو عنوان مدرج في ذلك اليوم، سواء صفحة أو حمولة أو خادمًا. عندما تحققنا في 1 نوفمبر 2026، لم يعد أي من المضيفين والعناوين في الجدول أعلاه مدرجًا: تزيل القوائم البنية التي توقفت عن العمل، ولا يمكن الآن التحقق مما إذا كان كل منها مدرجًا أثناء نشاطه.
- **[السؤال عن التطبيقات الجديدة](https://kilobat.app/ar/guides/recipes/approve-new-apps).** عند تفعيل **السؤال عن التطبيقات الجديدة** في ملف Travel أو Work، يُعلَّق الاتصال الأول لتطبيق ليس له قاعدة بينما يعرض Kilobat موقّعه ومساره ووجهته. كان تطبيق غير موقّع أو موقّع توقيعًا مخصصًا من صورة قرص، أو ملف تنفيذي يعمل من `/tmp`، سينتظر إجابتك. وعند تفعيل **السماح ببرامج Apple** يُسمح بمرور `curl` و`osascript` من Apple.
- **[حركة بيانات التطبيقات](https://kilobat.app/ar/mac-bandwidth-monitor).** تسمي قائمة تطبيقات Kilobat أدوات سطر الأوامر التي ليست جزءًا من macOS بمساراتها، فيبرز إرسال `/tmp/helper` للبيانات مع حجم الرفع والوجهة. ويعرض الاتصال بعنوان مباشر ذلك العنوان.

## أين لم يكن Kilobat ليساعد

- Kilobat ليس مضاد فيروسات. لا يمنعك من لصق أمر أو فتح صورة قرص أو كتابة كلمة المرور في مربع حوار مزيف؛ أبقِ XProtect وGatekeeper مفعّلين.
- تحدث معظم السرقة قبل أي اتصال. تتم قراءة سلسلة المفاتيح وملفات تعريف المتصفح والمحافظ محليًا، ولا يمس الشبكة إلا الرفع الأخير.
- لا تكون مواقع الاستدراج والخوادم الجديدة مدرجة في القوائم بعد. وجدت Moonlock أن جميع محركات VirusTotal لم تكتشف موقع أداة الذكاء الاصطناعي المزيفة أثناء نشاطه.
- يُستخدم ما سُرق من أجهزة المهاجمين باستخدام ملفات تعريف الارتباط وكلمات المرور الخاصة بك، لذلك لا يظهر شيء آخر على Mac.
- لا ينطبق حارس الوكلاء وسجل شبكة الوكلاء على البرامج التي تبدأها بنفسك من Terminal أو Finder.

## تحقق من Mac الآن

1. ابحث عن عناصر بدء تشغيل لا تعرفها. استخدم AMOS `com.` متبوعًا بأحرف عشوائية.

   ```
   ls -la /Library/LaunchDaemons /Library/LaunchAgents ~/Library/LaunchAgents
   ```
2. ابحث عن المجلدات المخفية التي عثرت عليها Unit 42 وسُميت لتبدو كأنها تخص Apple. لا توجد هذه المجلدات عادةً.

   ```
   ls -la ~/Library/Application\ Support/.com.apple.accountsd ~/Library/Application\ Support/.com.apple.metadata.mds
   ```
3. ابحث عن الملفات المجهزة. يمسح macOS `/tmp` عند إعادة التشغيل، لذا فإن عدم العثور على شيء لا يثبت الكثير.

   ```
   ls -la /tmp/helper /tmp/starter /tmp/out.zip
   ```
4. ابحث في سجل الصدفة عن أمر لُصق من صفحة ويب لتنزيل شيء وتشغيله.

   ```
   grep -nE "curl .*\| *(ba|z)?sh|base64 -(d|D)" ~/.zsh_history
   ```
5. ثبّت Homebrew فقط بالأمر الموجود على `brew.sh`، والذي يجلب `raw.githubusercontent.com/Homebrew/install/HEAD/install.sh`. قبل تشغيل أي أمر تثبيت، تحقق من المضيف الذي ينزّل منه.

   ```
   kilobat protect check example-download-host.com
   ```
6. فعّل السؤال عن التطبيقات الجديدة مع السماح ببرامج Apple، حتى تنتظر البرامج الجديدة موافقتك. راجع [الحصول على موافقات للتطبيقات الجديدة](https://kilobat.app/ar/guides/recipes/approve-new-apps).

   ```
   kilobat settings new-apps ask
   ```
7. إذا وجدت علامات AMOS، فافترض أن كلمات المرور المحفوظة وجلسات المتصفح وسلسلة المفاتيح والمحافظ قد انكشفت. من جهاز آخر غيّر كلمات المرور وسجّل الخروج من الجلسات الأخرى وانقل العملات المشفرة إلى محفظة جديدة، ثم امسح macOS وأعد تثبيته بدلًا من الاعتماد على التنظيف.

## الأسئلة

**هل يوقف Gatekeeper برنامج AMOS؟**

ليس عندما يُقنع الأشخاص بتجاوزه. رأت Jamf صور أقراص تطلب من المستخدمين النقر بزر الفأرة الأيمن وفتح التطبيق، ولا تعرض نسخ اللصق في Terminal تطبيقًا على Gatekeeper أصلًا. أبقه مفعّلًا على أي حال؛ فهو يوقف الكثير.

**هل كان Kilobat سيحظر موقع Homebrew المزيف؟**

فقط لو كان brewe[.]sh أو نطاق الحمولة على قوائم التهديدات أثناء عرض الإعلان لنحو ثلاثة أيام في يناير 2025. لا يمكن التحقق من ذلك لاحقًا، وهو غير مدرج الآن.

## المصادر

- [Cyble: جهة تهديد تبيع برنامج سرقة Atomic macOS (AMOS) الجديد على Telegram](https://cyble.com/blog/threat-actor-selling-new-atomic-macos-amos-stealer-on-telegram/)
- [SentinelOne: ظهور نسخة ثانية من برنامج Atomic Stealer الخبيث المبيع على Telegram لأجهزة macOS](https://www.sentinelone.com/blog/atomic-stealer-threat-actor-spawns-second-variant-of-macos-malware-sold-on-telegram/)
- [Jamf Threat Labs: برامج سرقة المعلومات تواصل تهديد مستخدمي macOS](https://www.jamf.com/blog/infostealers-pose-threat-to-macos/)
- [Moonlock: انتشار برمجية macOS خطيرة عبر إعلانات Homebrew مزيفة](https://moonlock.com/macos-malware-homebrew-ads)
- [Microsoft Defender Experts: البحث عن سارقي المعلومات، تهديدات macOS](https://techcommunity.microsoft.com/blog/microsoftsecurityexperts/hunting-infostealers---macos-threats/4494435)
- [Moonlock: برنامج سرقة Atomic macOS يقلد أداة وكيل ذكاء اصطناعي لـ Mac](https://moonlock.com/amos-mimicking-ai-agent-tool)
- [Unit 42: نشاط برنامج سرقة Atomic macOS (AMOS)](https://unit42.paloaltonetworks.com/atomic-macos-amos-stealer-activity/)

تم التحقق في 1 نوفمبر 2026.

## اعرف ما تتصل به وكلاؤك وتطبيقاتك

Kilobat تطبيق لشريط قوائم Mac يحدد التطبيق والعملية والوكيل وراء كل اتصال، ويبعدها عن المضيفين المعروفين بسوئهم، ويسجل الوجهات التي بلغتها كل جلسة وكيل.

[تنزيل لـ Mac ↓](https://kilobat.app/downloads/Kilobat-1.31.1.dmg?via=site)

```
brew install seifip/kilobat/kilobat
```

## حوادث أخرى

- [Nx «s1ngularity»](https://kilobat.app/ar/incidents/nx-s1ngularity): شغّلت إصدارات Nx الخبيثة أدوات الذكاء الاصطناعي المثبتة للعثور على الأسرار، ثم نشرتها في مستودع جديد ضمن حساب الضحية على GitHub.
- [دودة npm «Shai-Hulud»](https://kilobat.app/ar/incidents/shai-hulud-npm-worm): دودة سرقت رموز المطورين وأعادت نشر نفسها بها وسرّبت الأسرار عبر GitHub وwebhook.site.
- [كل الحوادث](https://kilobat.app/ar/incidents): كل دراسة حالة، مع ما كان Kilobat سيفعله وما لم يكن ليفعله.