SOCRadar：偽面試木馬偷Chrome密碼，篡改MetaMask插件權限

找工作的Web3開發者收到一家頂級區塊鏈公司的面試邀請，經過層層技術測試，卻在最后一步“攝像頭調試”時，將一條惡意命令貼進了Mac終端。這并非虛構——安全機構SOCRadar最新報告曝光了一場專門針對加密貨幣和Web3從業者的假面試攻擊行動，它投遞的macOS遠控木馬GolangGhost可以直接竊取瀏覽器憑據、收集錢包數據，甚至遠程操縱受感染系統。

整個騙局偽裝成極為逼真的招聘流程。攻擊者扮演獵頭或內部HR，通過社交平臺或郵件推送誘人的高薪崗位，然后引導目標進入一個仿真的在線技能評估頁面。頁面會收集個人信息、對瀏覽器和設備指紋進行探測，并主動屏蔽手機端訪問，以篩選出使用桌面環境的理想目標。隨后，受害者會面對一系列限時答題，期間一旦切換瀏覽器標簽頁，頁面就會彈出警告——這一切都在制造緊張感，逼迫候選人在沒有退路的情況下快速操作。

最后一步是視頻錄制環節。網站會突然彈出一個攝像頭或麥克風故障提示，畫面宛如真實的系統報錯，紅字警告無法正常工作。緊接著，頁面替換原本顯示的無害命令，給出一個所謂的“一鍵修復”指令，誘導受害者將其復制并粘貼到Mac終端中執行。這個動作就是整個入侵鏈條的引爆點。

一旦受害者執行了終端命令，一段Bash腳本便開始在后臺悄悄運作。腳本首先創建一個隱藏工作目錄，隨后下載一個偽裝成Intel驅動程序的歸檔文件，并從中解出Go編譯器環境。之所以要現場拉取Go編譯器，是因為GolangGhost本身就是用Go語言編寫的惡意程序，攻擊者選擇在受害者本機搭建運行環境，而不是將依賴打包進載荷，這樣既能縮減樣本體積、降低靜態檢測的風險，又能在不依賴額外庫文件的前提下順利啟動木馬。

腳本還通過寫入Launch Agent的方式建立持久化。Launch Agent是macOS系統的合法啟動機制，專用于定義用戶登錄時的自啟動程序。GolangGhost利用這一機制，把自己的重新啟動指令注冊進去，確保即便手動重啟Mac，木馬也能再次生效。這種植入手段與眾多macOS信息竊密木馬如出一轍，此前已有類似惡意程序專門針對瀏覽器數據和錢包信息實施盜取。

GolangGhost的核心能力之一，是借助macOS自帶的keychain命令行工具，檢索出Chrome瀏覽器在鑰匙串中存儲的主密碼。keychain是蘋果系統級的密碼管理服務，許多應用程序都將加密密鑰托管在其中。木馬拿到這個主密碼后，就能解密Chrome本地的用戶數據庫，從而獲取所有已保存的網站登錄憑據、會話Cookie等敏感數據。這些數據一旦落入攻擊者之手，等于直接拿到了目標在數十個在線服務中的通行權。

而更危險的是，GolangGhost并不僅僅滿足于偷取密碼。它會主動掃描Chrome瀏覽器中的擴展程序數據，重點瞄準加密貨幣錢包和各類密碼管理器插件。MetaMask以及多款主流錢包擴展都在它的狩獵名單上。木馬通過讀取擴展的配置文件夾，可以獲取錢包的本地設置、賬戶關聯信息等，這為進一步竊取數字資產打下了基礎。

但最令人不安的，是GolangGhost具備直接篡改Chrome瀏覽器安全偏好的功能。它會在關閉Chrome進程后，修改瀏覽器的Secure Preferences文件。Secure Preferences是Chrome用來存儲擴展權限、站點設置等敏感配置的關鍵文件，正常情況下受到嚴格保護。GolangGhost卻悄悄地往里面注入額外的權限條目，包括訪問活動標簽頁、寫入剪貼板、攔截網頁請求以及擴充本地存儲空間等高危權限，然后將這些權限統統授予MetaMask擴展。

這一改動相當于給攻擊者開了一扇隱形的后門。由于MetaMask擴展本身在瀏覽器內擁有對錢包操作的信任位置，擁有了“注入的權限”后，攻擊者就可以在標簽頁中監聽用戶對DApp的交互、讀取或篡改剪貼板中的地址信息、甚至模擬錢包交易簽名。這種對瀏覽器擴展底層配置的篡改，比單純的密碼竊取更具隱蔽性和破壞力，能夠在不觸碰錢包私鑰文件的前提下完成資產轉移。

SOCRadar認定，這起攻擊活動與朝鮮方面的Famous Chollima組織存在關聯，該組織也被追蹤為Wagemole。值得注意的是，同一個虛假面試招聘投遞體系，在Windows端還分發了名為Pylang