# 朝鲜的假工作恶意软件：我的杀毒软件一声不吭的四个原因

> 我两次运行了假工作的编程测试，XProtect 和杀毒软件都一声没吭。一支 53 秒的科普视频：代码是我自己运行的，它用的是受信任的工具，它是新的，而被盗的会话可以绕过两步验证。然后是应对办法：在代码第一次运行之前，先查清它要做什么。

- URL: https://oliverz.dev/zh/videos/antivirus-silent
- Author: Oliver Zhang (https://oliverz.dev)
- Language: zh-Hans
- Published: 2026-10-31
- Tags: security, macos, explainer
- Video: https://www.youtube.com/shorts/YCy3YTP26tA

> **一句话总结：** 我两次被 Upwork 上的假工作坑到，杀毒软件两次都什么也没说。来源给出了四个原因，说明它根本没什么可反对的：代码是我自己运行的，所以 Mac 的检查让到了一边；它用的是 node、curl 和 bash 这类受信任的工具；变种是新的，所以特征码来得晚；被盗的登录会话可以绕过两步验证。来源指向的应对办法：把每一次安装都当作代码，对任何要你运行终端命令的人保持警惕，并在代码第一次运行之前查清它要做什么。

## 两次，都没有声音

这是我自己的经历；两次遭遇我都写在了 [我在 Upwork 上两次撞上朝鲜黑客的假面试](https://oliverz.dev/zh/blog/upwork-contagious-interview) 里。最让我在意的是："neither macOS's built-in XProtect nor traditional antivirus made a sound, either time."（macOS 自带的 XProtect 和传统杀毒软件，两次都一声没吭。）

这不等于杀毒软件没用。下面的来源说的是它会滞后、会被绕开，而不是它毫无价值。

## 1. 是我自己运行的

微软威胁情报描述了朝鲜行为者 Sapphire Sleet 针对 macOS 的一场攻击活动，它"that relies on social engineering rather than software vulnerabilities."（依靠的是社会工程，而不是软件漏洞。）

用微软的话说："By persuading users to manually execute AppleScript or Terminal‑based commands, Sapphire Sleet shifts execution into a user‑initiated context, allowing the activity to proceed outside of macOS protections such as Transparency, Consent, and Control (TCC), Gatekeeper, quarantine enforcement, and notarization checks."（通过说服用户手动执行 AppleScript 或基于终端的命令，Sapphire Sleet 把执行转移到用户主动发起的上下文中，让这些活动得以在 macOS 的各项保护之外进行，比如透明度、同意与控制（TCC）、Gatekeeper、隔离强制执行以及公证检查。）

## 2. 受信任的工具

还是微软："This activity demonstrates how threat actors continue to rely on user interaction and trusted system utilities to bypass macOS platform security protections, rather than exploiting traditional software vulnerabilities."（这一活动表明，威胁行为者仍在依靠用户交互和受信任的系统工具来绕过 macOS 平台的安全保护，而不是利用传统的软件漏洞。）

这和我看到的一致："These attacks come in new packaging every time and use the most ordinary tools there are, like node, curl and bash, so traditional antivirus has no reason to find them suspicious."（这些攻击每次都换一个新包装，用的又是 node、curl、bash 这些再普通不过的工具，所以传统杀毒软件没有理由觉得它们可疑。）

## 3. 新的，所以没有特征码

一旦攻击活动为人所知，特征码确实会来：微软指出，"Apple has also deployed XProtect signatures to detect and block the malware families associated with this campaign—macOS devices receive these signature updates automatically."（Apple 也已部署 XProtect 特征码，用于检测和拦截与这场攻击活动相关的恶意软件家族；macOS 设备会自动接收这些特征码更新。）

但新变种在刚被发现时可能会被漏掉。SentinelOne 在 2025 年初报告了"newly discovered samples that we have labelled 'FlexibleFerret' and which remain undetected by XProtect at the time of writing."（新发现的样本，我们将其命名为"FlexibleFerret"，截至撰文时 XProtect 仍未检测到它们。）

下架恶意包也结束不了这件事。Socket："Since our July 14, 2025 update, we have identified and analyzed more than 338 malicious packages with over 50,000 cumulative downloads."（自我们 2025 年 7 月 14 日的更新以来，我们已经识别并分析了超过 338 个恶意包，累计下载量超过 50,000 次。）还有："We continue to see weekly upload bursts, rapid re-uploads after takedowns, and iterative changes to loaders and `postinstall` scripts."（我们仍不断看到每周的集中上传、下架后的迅速重新上传，以及对加载器和 `postinstall` 脚本的反复修改。）

## 4. 被盗的会话可以绕过两步验证

微软在 2022 年谈网络钓鱼时写道："Once the attacker obtains the session cookie, they can inject it into their browser to skip the authentication process, even if the target's MFA is enabled."（攻击者一旦拿到会话 cookie，就可以把它注入自己的浏览器，跳过身份验证流程，即使目标启用了多因素认证（MFA）也一样。）

在 Bybit，据 FBI 说，"North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit"（朝鲜应对从加密货币交易所 Bybit 盗走约 15 亿美元虚拟资产一事负责）。The Hacker News 引用的 Safe{Wallet} 的说法："The attack involved the compromise of a Safe{Wallet} developer's laptop ('Developer1') and the hijacking of AWS session tokens to bypass multi-factor authentication ('MFA') controls."（这次攻击包括入侵一名 Safe{Wallet} 开发者的笔记本电脑（"Developer1"），以及劫持 AWS 会话令牌来绕过多因素认证（"MFA"）控制。）

## 连专家也会中招

FBI："Given the scale and persistence of this malicious activity, even those well versed in cybersecurity practices can be vulnerable to North Korea's determination to compromise networks connected to cryptocurrency assets."（鉴于这类恶意活动的规模和持续性，即使是精通网络安全实践的人，面对朝鲜入侵与加密货币资产相连的网络的决心，也可能防不胜防。）

## 补救办法

1. **在代码第一次运行之前，查清它要做什么**，而不是看它叫什么。这是我从两次遭遇中得出的结论。
2. **每一次安装都是代码。** Socket："Treat every `npm install` as code execution and block risky behavior before it reaches developer machines or pipelines."（把每一次 `npm install` 都当作代码执行，在危险行为到达开发者的机器或流水线之前就拦下它。）
3. **永远不要粘贴陌生人给的命令。** 微软建议："Educate users about social engineering threats originating from social media and external platforms, particularly unsolicited outreach requesting software downloads, virtual meeting tool installations, or execution of terminal commands."（教育用户警惕来自社交媒体和外部平台的社会工程威胁，尤其是主动找上门、要求下载软件、安装虚拟会议工具或执行终端命令的联系。）

两次遭遇之后，我做了 [Tsuba](https://oliverz.dev/zh/products/tsuba)，一个免费的 Mac 应用，核心只有一个想法："before unfamiliar code runs for the first time, it takes a look for you."（陌生代码第一次运行之前，先替你看一眼。）

## 来源

- Oliver Zhang，[我在 Upwork 上两次撞上朝鲜黑客的假面试](https://oliverz.dev/zh/blog/upwork-contagious-interview)，2026 年 10 月 28 日
- Microsoft Threat Intelligence，[Dissecting Sapphire Sleet's macOS intrusion from lure to compromise](https://www.microsoft.com/en-us/security/blog/2026/04/16/dissecting-sapphire-sleets-macos-intrusion-from-lure-to-compromise/)，2026 年 4 月 16 日
- SentinelOne，[macOS FlexibleFerret: Further Variants of DPRK Malware Family Unearthed](https://www.sentinelone.com/blog/macos-flexibleferret-further-variants-of-dprk-malware-family-unearthed/)，2025 年 9 月 2 日更新
- Socket，[North Korea's Contagious Interview Campaign Escalates: 338 Malicious npm Packages, 50,000 Downloads](https://socket.dev/blog/north-korea-contagious-interview-campaign-338-malicious-npm-packages)，2025 年 10 月 10 日
- Microsoft，[From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud](https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/)，2022 年 7 月 12 日
- The Hacker News，[Safe{Wallet} Confirms North Korean TraderTraitor Hackers Stole $1.5 Billion in Bybit Heist](https://thehackernews.com/2025/03/safewallet-confirms-north-korean.html)，2025 年 3 月 7 日
- FBI，[PSA 250226](https://www.ic3.gov/PSA/2025/PSA250226)（Bybit），2025 年 2 月 26 日
- FBI，[PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks](https://www.ic3.gov/PSA/2024/PSA240903)，2024 年 9 月 3 日

视频用代码制作动画，脚本在 AI 辅助下撰写；上面每一句引文都对照来源核实过。示意部分："未发现威胁"的盾牌、向两边打开的闸门、扫描仪和它的 X 光、特征码时间线，以及会话 cookie。本文讲的是风险和补救办法，不是这个恶意软件如何运作。视频为英文。视频用 [Shotloop](https://oliverz.dev/zh/products/shotloop) 制作：我做的免费 Mac 应用，用代码做科普短视频，一个镜头一个镜头地改。