图里

转眼世事化尘烟

[图里 @LoadDefaults]

@doomsdayspecter 粽子不能没有肥肉🤭

[Dr. Bo @BoDiplo]

大部分都经历过。尤其是最后一条😹

[Barret李靖 @Barret_China]

大概一个月多前，电脑中了木马，潜伏了一个月才被发现，也导致了我的 X 账号被盗。

让 Claude 和 Codex 逐一分析系统进程时，找到了一个叫做 com\.apple.accountsd.helper.plist 的进程，乍一看还以为是苹果系统的宿主进程，但 Claude 对这个进程提出了质疑。

沿着这个线索，对 accountsd 进行了详细的分析。这个木马首先给系统添加了一个开机自启项，确保可长期潜伏，然后通过 root 权限写了一个守护脚本，每秒探测当前系统是否有新用户登录，一旦登录就通过 AppleScript 脚本切换成当前用户身份，运行一个叫做 AccountsHelper 的程序。

对 AccountsHelper（SHA256：9168cbc45f）也做二进制分析，它的依赖极少，主要职责是从远端加载指令，然后拉起一个交互式 PTY shell，攻击者就是通过这个 shell 来远程操控电脑的。木马执行的每个环节，清理工作都做的特别好，几乎所有日志都被清理干净了。

为了溯源整个中马过程，我分析了将近两个多月的系统日志，仅找到一条可疑指令：有个 curl 操作，下载并执行了一条混淆命令，这也是唯一的线索，解密指令得到了一个远端 IP地址。

后来也从公开情报里找到这个木马，它是 AMOS Stealer 恶意软件家族的变种，之前主要针对 Windows 平台，今年四月第一次在 macOS 上被发现。

从 .zhistory 日志看，curl 前后都是 Claude Code 相关操作，高度怀疑就是 Agent 程序引入了这个木马。

我的 Claude Code 长期是 bypass 模式，所有的命令执行都是直接放过，怀疑是在做软件安装或更新的时候，AI 从互联网找到了一些不安全的资源，下载了这个木马。

这个 AMOS 木马，主要会去扫各种虚拟货币钱包，尤其是浏览器插件钱包。顺带也把我各种登录态 Cookies 全部拿走了，这才导致 X 账号被恶意添加了一个 Passkey。

一般木马进来之后，除了目的性的攻击（例如虚拟钱包转账、文件加密勒索）外，它还会使劲去找各种敏感信息，尤其是浏览器里的登录态、Keychain 里保存的账号密码、聊天工具的登录状态、开发环境里的 .env 文件和各种 token，等等。

我这个教训，大家记住两点：1）所有能够加 F2A 的账号都要加，登录时的二次验证会增加攻击者的门槛；2）AI 在执行各种程序的时候，一定要注意它在执行什么，尤其是安装和更新软件的时候，要先确认再执行。

跟一些安全研究者也交流了这个木马的细节，他说近期这类事件特别高频，攻击者会伪造各种软件的官网，Google 搜出来默认都排在第一位，诱导用户（尤其是 AI）下载木马，防不胜防！

[图里 @LoadDefaults]

@Private_plot 戒网瘾机构里面不会连一样趁手的要人命工具都没有吧

[图里 @LoadDefaults]

MK的鹦鹉收养的两窝小燕子集体学飞了，纷飞远去又飞回的场景好治愈

[图里 @LoadDefaults]

@Private_plot 好吧

[图里 @LoadDefaults]

@Tresmort @dearemon 大概率是了，殷商时期的青铜器皿一般都是用作烹饪的

[图里 @LoadDefaults]

@Hixlan1996 @MiaBleem 一个冷知识，国内每日喝尿的群体是以百万计的，叫尿疗🤭

[图里 @LoadDefaults]

@RoachNyaNya

[图里 @LoadDefaults]

@Luna_Jobs He’s death or he’s gone

[图里 @LoadDefaults]

@ShoryuPaw @beardomination 郭老师代言！最近发现新买的裤子拉链不是YKK了，希望不是偶然

[图里 @LoadDefaults]

乍看人称角度怪异还以为是助理代运营

[图里 @LoadDefaults]

@Q111978832 神药意可贴，贴疮口你会当即告别口腔溃疡作痛

[作业本 @zuoyeben]

盯住这目录，只看这目录，你就知道，中国农民真是他妈的没法活……

[徒步的骑手 @CaminoTexas]

查老师说得很贴切，大部分中国知识分子头脑中都驻着个宣传部，稍微挖深一点，都是些小胡锡进。用王朔的话说，就是些“识字分子”；用辜鸿铭的话说，就是剪掉了脑壳外面的辫子，但脑壳里面的辫子还在那里。听他们说话，看他们写的文字，字里行间都露出辫子裹脚布，扭扭捏捏迎合党国叙事。

[逃跑的韭菜🇺🇸 @quaintlotus142]

海外绝大多数人不知道他的过往经历。

[TRO @trotrotro]

真的，有空看那些傻逼视频，不如翻翻托洛茨基、莫洛托夫、赫鲁晓夫、龚楚、张国焘、王明、张春桥、徐景贤、戚本禹、邱会作、吴法宪、李作鹏、陈伯达、赵紫阳们出局之后写的谈的东西。这些东西不一定是真的，但提供的视角不是官方钦定和民间听床能够替代的。

[小径残雪 @xiaojingcanxue]

纽约大学的研究：社交媒体如何系统性地利用人类的愤怒情绪来推动传播。

[图里 @LoadDefaults]

@RoachNyaNya 全是花