資安事件調查報告：假視訊會議導致 macOS 遭入侵與 Telegram 帳號被盜

1. 執行摘要

2026 年 4 月 24 日（UTC 08:03 起），使用者在 Telegram 中受邀參加視訊會議，被引導至偽造的 Microsoft Teams 會議頁面（使用者記憶中為 Zoom）。在約 4 分鐘內，攻擊者透過偽造的 macOS 密碼對話框取得系統密碼，並以 root 權限植入後門 cloudsync，建立開機自動啟動的持久化機制。

此後門在受害主機上持續運作約 193 天，期間：

• 2026-05-05、06-03 下載第二階段酬載與加密設定；
• 2026-05-25 於全部 4 個 Chrome 設定檔植入偽裝成「Google 文件離線版」的間諜擴充功能，搭配一個可執行任意指令的原生主機程式（Native Messaging Host）；
• 間諜擴充功能每 30 秒竊取全部網站 Cookie、側錄鍵盤與剪貼簿、每 6 秒截取螢幕、上傳各網站 localStorage（含 Telegram Web 登入權杖）。

Telegram 帳號遭盜的最可能原因，是 Session Cookie／localStorage 權杖被竊取（Session Hijacking），此手法可繞過密碼與兩步驟驗證。

調查當日（2026-11-03）發現兩組惡意元件仍在運作並與 C2 伺服器連線中。已完成：終止程序、移除持久化、隔離樣本、封鎖 C2 網域，並經三輪深度複查確認無其他已知殘留。

攻擊手法與公開報告中北韓背景 APT 組織 BlueNoroff（Lazarus 子團體） 的「假視訊會議（GhostCall）」行動高度一致；但本報告未取得足以做出確定歸因的證據，僅列為「手法吻合」。

2. 事件時間軸

timeline
    title 入侵事件時間軸（UTC）
    2026-04-24 08h03 : 假密碼視窗元件出現 ammad.Mac-Password-Popup
                     : ~/Library/Staging 建立
    2026-04-24 08h04 : 使用者截圖 - 假 Teams 會議等候頁
    2026-04-24 08h05 : Identification 目錄與 auth.db 建立
    2026-04-24 08h06 : root 後門 cloudsync 寫入
    2026-04-24 08h07 : LaunchDaemon com.safari.sync.service 建立
                     : 加密設定 .com.apple.better.env
    2026-05-05 : 第二階段加密設定 .apple.auth
    2026-05-25 03h40 : 間諜 Chrome 擴充功能與 Native Host 植入
    2026-06-03 : 第二階段執行檔 .authds
    2026-06-23 : LaunchAgent com.apple.google.auth 更新
    2026-11-03 : 偵測、遏止、根除、複查

註：擴充功能資料夾內部分檔案的建立時間顯示為 2025-10-16，經比對當日無任何惡意活動，判定為攻擊者打包時保留之原始時間戳；Secure Preferences 中的安裝時間（2025-08-13）亦為偽造。實際植入時間依內嵌受害者主機名稱之 data.js 判定為 2026-05-25。

3. 攻擊流程（UML 循序圖）

sequenceDiagram
    autonumber
    actor A as 攻擊者
    participant TG as Telegram
    actor U as 受害者
    participant W as 偽造 Teams/Zoom 網頁
    participant OS as macOS
    participant BD as cloudsync (root 後門)
    participant CH as Chrome + 間諜擴充功能
    participant NH as Native Host<br/>google.chrome.diagnostics
    participant C2 as C2 伺服器<br/>check02id.com (83.136.210.180)

    A->>TG: 以熟人/商業名義邀約視訊會議
    TG->>U: 傳送會議連結
    U->>W: 開啟連結，進入假會議等候頁
    W->>U: 提示「音訊/SDK 需更新」
    U->>OS: 執行下載的腳本/程式
    OS->>U: 彈出假系統密碼視窗 (Mac-Password-Popup)
    U->>OS: 輸入 macOS 登入密碼
    Note over OS: 取得密碼 → sudo 提權
    OS->>BD: 寫入 cloudsync + LaunchDaemon (root)
    loop 每 60 秒
        BD->>C2: 回報 (TCP 5202)
        C2-->>BD: 指令 / 酬載
    end
    BD->>OS: 下載 .authds、.apple.auth (5–6 月)
    BD->>CH: 植入假「Google 文件離線版」擴充功能 (4 個設定檔)
    BD->>NH: 植入 Native Host 並註冊
    loop 持續
        CH->>C2: 每 30 秒上傳全部 Cookie (TCP 5078)
        CH->>C2: 每 60 秒上傳鍵盤/剪貼簿記錄
        CH->>C2: 每 6 秒截圖、localStorage、瀏覽紀錄 (8443)
        C2-->>CH: WebSocket 即時指令 (wss 8443/realtime)
        CH->>NH: 轉送遠端 Shell 指令
        NH-->>CH: 執行結果
    end
    A->>TG: 以竊得 Session 登入受害者 Telegram
    Note over A,TG: 帳號接管（繞過密碼與 2FA）

4. 惡意元件架構（UML 元件/部署圖）

flowchart TB
    subgraph Host["受害主機 (macOS)"]
        direction TB
        subgraph Persist["持久化層"]
            LD["/Library/LaunchDaemons/<br/>com.safari.sync.service.plist<br/>(root, RunAtLoad)"]
            LA["~/Library/LaunchAgents/<br/>com.apple.google.auth.plist<br/>→ ~/Library/Identification/.verify"]
        end
        subgraph Stage1["第一階段（root）"]
            CS["~/Library/CloudSync/cloudsync<br/>未簽章 Mach-O x86_64 7.26MB"]
            ENV["/Users/Shared/.com.apple.better.env<br/>加密設定"]
            PP["ammad.Mac-Password-Popup<br/>假密碼對話框"]
            AUTH["Authorization/auth.db<br/>指向 .verify 路徑"]
        end
        subgraph Stage2["第二階段"]
            AD["/Users/Shared/.authds<br/>未簽章 Mach-O 5.24MB"]
            AA["/Users/Shared/.apple.auth<br/>加密資料"]
        end
        subgraph Browser["Chrome（4 個設定檔）"]
            EXT["假 Google Doc Sheets Offline<br/>ppconlkbhfnachephglhgbhdgeapgjoj<br/>MV3, &lt;all_urls&gt;"]
            NMH["NativeMessagingHosts/<br/>google.chrome.diagnostics<br/>未簽章 Mach-O 6.03MB"]
        end
    end
    C2[("C2: check02id.com<br/>83.136.210.180<br/>:5078 / :8443 / :5202")]

    LD -->|開機執行| CS
    LA -.->|檔案已不存在| AUTH
    CS --> ENV
    CS -->|下載| AD
    CS -->|下載| AA
    CS -->|植入| EXT
    CS -->|植入| NMH
    EXT <-->|nativeMessaging| NMH
    CS <-->|TCP 5202 每 60 秒| C2
    EXT <-->|HTTPS 5078 / WSS 8443| C2

5. 間諜擴充功能能力分析（UML 類別圖）

classDiagram
    class FakeDocsOfflineExtension {
        +id: ppconlkbhfnachephglhgbhdgeapgjoj
        +manifest_version: 3
        +location: 4 (非商店)
        +host_permissions: all_urls
        +permissions: cookies, history, tabs, scripting, desktopCapture, pageCapture, nativeMessaging
        +C2_http: check02id.com:5078/update
        +C2_ws: wss://check02id.com:8443/realtime
        +token: 硬編碼共享金鑰
    }
    class ContentScript1 {
        +keydown() 鍵盤側錄
        +copy()/paste() 剪貼簿側錄
        +click() 觸發截圖
        +visibilitychange() 上傳 localStorage
    }
    class ContentScript2 {
        +GoogleMeet「立即加入」攔截
        +誘導授予螢幕錄製權限
    }
    class BackgroundWorker {
        +f3: 每 30 秒上傳全部 Cookie
        +keylog: 每 60 秒上傳
        +capture: 每 6 秒截圖 x36
        +cmd3: 依需求傾印 Cookie
        +cmd4: 清除指定網站 Cookie/Storage (強迫重新登入)
        +cmd11: 上傳 10,000 筆瀏覽紀錄
        +cmd13: 注入任意 JS 至指定網址
        +cmd14/15/16: 遠端 Shell 經 Native Host
        +cmd17: 頁面 MHTML 擷取
    }
    class NativeHost_google_chrome_diagnostics {
        +未簽章 x86_64
        +執行 payload/cwd/timeout
    }
    FakeDocsOfflineExtension *-- ContentScript1
    FakeDocsOfflineExtension *-- ContentScript2
    FakeDocsOfflineExtension *-- BackgroundWorker
    BackgroundWorker --> NativeHost_google_chrome_diagnostics : sendNativeMessage

影響說明：cmd4「清除指定網站 Cookie」可迫使受害者在該網站重新登入，配合鍵盤側錄即可取得新輸入的密碼；cmd13 可對交易所、錢包網站注入任意腳本（例如竄改收款地址）。

6. 入侵指標（IoC）

6.1 網路

6.2 檔案雜湊（SHA-256）

6.3 主機路徑與識別碼

/Library/LaunchDaemons/com.safari.sync.service.plist
~/Library/LaunchAgents/com.apple.google.auth.plist
~/Library/CloudSync/cloudsync
~/Library/Identification/.verify
~/Library/Staging/
~/Library/Application Scripts/ammad.Mac-Password-Popup/
~/Library/Application Support/Authorization/auth.db
/Users/Shared/.authds
/Users/Shared/.apple.auth
/Users/Shared/.com.apple.better.env
~/Library/Application Support/Google/Chrome/NativeMessagingHosts/google.chrome.diagnostics
~/Library/Application Support/Google/Chrome/NativeMessagingHosts/com.google.chrome.diagnostics.json
Chrome Extension ID: ppconlkbhfnachephglhgbhdgeapgjoj（名稱 "Google Doc Sheets Offline", v1.97.1）
擴充功能硬編碼 token 前綴: jfweibd234HFIDhfiwef…
data.js 欄位: cuid, cprofile, cbrowser, cserverUrl, cuserName, chostName, cwsServerUrl（每位受害者不同）

7. MITRE ATT&CK 對應

8. 應變處置紀錄（UML 狀態圖）

stateDiagram-v2
    state "偵測" as Detect
    state "分析" as Analyze
    state "遏止（一）" as Contain1
    state "根除（一）" as Erad1
    state "複查（一）" as Review1
    state "遏止（二）" as Contain2
    state "根除（二）" as Erad2
    state "封鎖 C2" as Block
    state "複查（二）" as Review2
    state "複查（三）" as Review3
    state "使用者待辦" as Pending
    [*] --> Detect
    Detect --> Analyze: 發現可疑 LaunchDaemon/Agent
    Analyze --> Contain1: 確認 cloudsync 以 root 執行中
    Contain1 --> Erad1: cleanup_malware.sh（使用者 sudo）
    Erad1 --> Review1: 驗證無殘留程序/啟動項
    Review1 --> Contain2: 發現未簽章 Native Host 與假擴充功能，C2 連線中
    Contain2 --> Erad2: 關閉 Chrome、隔離 4 個設定檔之擴充功能
    Erad2 --> Block: /etc/hosts 封鎖 check02id.com
    Block --> Review2: root 深層檢查（BTM/cron/sudoers/TCC）
    Review2 --> Review3: App 簽章、注入、腳本、日誌、IoC 全機掃描
    Review3 --> Pending: 帳號輪替、錢包遷移、重灌
    Pending --> [*]

9. 複查範圍與結果

殘留項目（低風險）：4 個 Chrome 設定檔之 Secure Preferences 仍留有擴充功能登記資料；程式碼已移除，無法執行。建議於 chrome://extensions 確認並點選「移除」。

10. 影響評估

11. 建議措施

立即（24 小時內，請使用另一台乾淨裝置）

1. Google 帳號：安全性 → 「登出所有其他裝置」，更換密碼，啟用通行金鑰或實體安全金鑰。
2. Telegram：設定 → 裝置 → 「終止所有其他工作階段」；設定兩步驟驗證密碼；檢查登入 Email。
3. 加密貨幣：於乾淨裝置建立全新助記詞錢包，轉移全部資產；撤銷舊地址之代幣授權（approve）。
4. 網銀、交易所、Email、雲端服務：登出所有工作階段 → 更換密碼 → 檢查 API 金鑰與白名單地址。
5. 更換 macOS 登入密碼與 Apple ID 密碼。

短期（1 週內）

1. 備份文件（勿備份應用程式與 ~/Library），清除磁碟並重新安裝 macOS。
2. Chrome 不要從舊設定同步擴充功能；僅自 Chrome 線上應用程式商店重新安裝。
3. 向當地執法機關與國家 CERT 通報，提供本報告與隔離樣本。

長期

1. 對 Telegram 等通訊軟體中的會議邀約，一律以官方 App 直接加入，不安裝任何「SDK／外掛／音訊修正」。
2. 任何非由使用者主動觸發的系統密碼視窗皆視為可疑。
3. 加密資產使用硬體錢包，助記詞永不輸入電腦。
4. 定期以 chrome://extensions 檢查非商店來源之擴充功能。

12. 歸因評估

結論：手法高度吻合，信心等級「中」。本報告未對樣本進行逆向工程或威脅情資平台比對，不構成正式歸因。

附錄 A：樣本取得

惡意樣本已加密封存。資安研究人員或執法單位如需樣本，請透過本報告發布者私下聯繫。

⚠️ 樣本為活體惡意程式，請勿於非隔離環境解壓縮或執行。