霸主鼠

Overlord 是一款使用 Go 語言開發的遠端存取木馬 (RAT)，旨在攻擊 Windows 和 macOS 環境。該惡意軟體最初在韓國被發現，引發了人們對其可能被用於實際攻擊的擔憂。在 macOS 系統中，它能夠與攻擊者控制的基礎設施建立持久通信，捕獲用戶輸入並嘗試篡改瀏覽器。強烈建議在檢測到該惡意軟體後立即將其清除，以防止進一步的損害。

技術構成和持續發展

該惡意軟體使用 Go 1.25.6 編譯為 macOS Apple Silicon (arm64) 二進位。其原始碼以開源許可證公開發佈在 GitHub 上，並有數百次提交記錄和持續的積極開發。這種透明度和持續的貢獻表明，Overlord 的功能，尤其是在 macOS 上的功能，在不久的將來可能會顯著增強，從而增加其潛在威脅。

持久性和指揮控制行動

Overlord 惡意軟體一旦部署到 macOS 裝置上，便會連接到命令與控制 (C2) 伺服器，等待操作員的進一步指令。它也採用了持久化機制，確保系統重新啟動後仍能繼續執行。此外，該惡意軟體還會捕獲鍵盤輸入和滑鼠活動，並透過內部通道傳輸這些數據，使攻擊者能夠即時掌握使用者行為。

遠端控制功能和命令集

Overlord 包含一套結構化的命令，可用於遠端管理受感染的系統。這些命令旨在方便監視、系統互動和瀏覽器操控：

• hvnc_start 指令會啟動一個隱藏的桌面會話，並將其串流傳輸給攻擊者。
• hvnc_start_chrome_injected 和 hvnc_start_browser_injected 指令嘗試重新啟動 Chrome 等瀏覽器，並注入惡意修改。
• hvnc_lookup 指令用於解析受感染系統上的可執行檔路徑。

雖然這些功能在 Windows 上更加成熟，但它們展示了高級遠端控制功能的框架。

平台限制和功能差距

程式碼庫中的某些進階功能在 macOS 上尚未完全實現。隱藏的虛擬桌面功能和 DLL 注入機制目前僅以佔位符存在，執行時會傳回平台不支援的訊息。同樣，進程注入到隱藏會話和有效載荷提取功能目前也僅限於 Windows 環境。儘管有這些限制，核心監控和持久化功能在兩個平台上仍然完全可用。

安全風險和影響評估

即使在目前狀態下，Overlord 也構成重大的網路安全風險。其持久存取權限結合輸入擷取功能，使攻擊者能夠廣泛監控使用者活動。這會導致憑證被盜、帳戶被非法存取以及長期監視的風險。雖然瀏覽器相關的操控功能在 macOS 上效果較差，但仍引入了額外的風險途徑。

感染媒介和傳播方法

Overlord病毒的確切傳播策略尚未得到證實。然而，與快速抗原轉移病毒（RATs）相關的常見感染媒介強烈暗示其可能採用了欺騙性和機會性傳播機制：

網路釣魚郵件和社交工程攻擊誘騙用戶執行惡意文件
捆綁盜版軟體、破解程式或來自不可信任第三方來源的虛假安裝程序
惡意下載、即時通訊平台中的惡意連結以及點對點檔案共享網絡

在更高級的場景中，一旦建立了初始存取權限，遠端存取木馬 (RAT) 可能會透過本地網路橫向傳播，或透過可移動儲存裝置傳播。

最終評估和防禦考量

Overlord 是 macOS 惡意軟體領域中日益增長的威脅。儘管其部分功能尚不完善，但其持久化和捕獲用戶輸入的能力足以造成嚴重危害。持續的開發表明，更高級的功能可能很快就會出現。快速偵測和清除仍然是最大限度減少損失和防止未經授權存取的關鍵。