微软披露朝鲜黑客组织 Sapphire Fleet 通过虚假招聘资料对 macOS 用户实施攻击。该团伙利用技术面试环节诱导受害者执行恶意脚本，窃取系统凭证及加密货币钱包等敏感数据。苹果与微软已合作修复漏洞并增强系统防御。
攻击流程与社会工程学手法
攻击者创建虚假招聘人员头像，与目标接触后邀请参加技术面试。面试中诱导受害者下载名为Zoom SDK Update.scpt的 AppleScript 文件。该文件在终端编辑器中打开时表面无害，但内部隐藏数千行恶意代码，执行后触发后续攻击流程。
数据窃取范围与潜伏机制
恶意软件通过可信机制下载多阶段载荷，收集主机系统信息、应用运行状态、Telegram会话数据、浏览器存储、密钥库及加密货币钱包等关键信息。攻击者利用模拟系统更新界面获取用户密码，该弹窗使用原生macOS元素，界面设计视觉上无法与合法提示区分，将凭证通过Telegram Bot API传输至攻击服务器，确保持久驻留。
联合防御与威胁响应措施
苹果强化 macOS 与 Safari 安全机制，微软Defender已更新可检测并阻断 Sapphire Fleet 攻击。微软发布威胁情报报告及安全检测查询建议，协助安全人员识别潜伏恶意行为。攻击虽未明确规模，但针对高价值目标特征显著。
此次攻击凸显跨平台安全威胁的严峻性，企业需加强对员工社交工程攻击的防范意识。用户应警惕来历不明的会议邀请及脚本文件执行要求。
via Neowin