SANS Stormcast Monday, August 3rd, 2026: zipdump.py update; Atomic MacOS Analysis; OpenAI Phishing; COLDCARD Vulnerability
三句話摘要
2026年8月3日網安播客：SIP工具改進、macOS竊取器、ChatGPT釣魚與加密錢包隨機數漏洞分析。 即使是離線硬體錢包，韌體層的隨機數漏洞也足以摧毀整個安全模型，隨機性質量是加密安全的基礎。 SipTump.py 處理損壞SIP檔案：工具現可在檔案損壞情況下仍提取元數據（檔名、時間戳、加密狀態），並支援ASCII和UTF-8編碼的強制破解，解決實際分析中損壞檔案無法識別編碼的問題。
重點整理
重點- 1
SipTump.py 處理損壞SIP檔案：工具現可在檔案損壞情況下仍提取元數據（檔名、時間戳、加密狀態），並支援ASCII和UTF-8編碼的強制破解，解決實際分析中損壞檔案無法識別編碼的問題。
- 2
AMOS 采用隱蔽社交工程：相比簡單點擊驗證碼釣魚，AMOS透過高仿域名、終端命令執行與正常軟體安裝提示相結合，讓受害者在預期安裝軟體的心理狀態下被攻擊，欺騙性更強。
- 3
ChatGPT 釣魚針對信用卡：假冒OpenAI發送訂閱失敗通知，引導進入高仿網站竊取信用卡，同時可能搜集登入憑證與存取令牌進行帳號入侵。
- 4
Cold Card 隨機數漏洞致資金失竊：硬體錢包因韌體缺陷未啟用硬體隨機數生成器，改用密碼學級別不足的MicroPython隨機數生成，已致多位用戶損失資金，建議轉移資產至新錢包。
實用技巧與重點
乾貨- SipTump.py：提取SIP元數據、檢測加密狀態、處理損壞檔案、支援ASCII/UTF-8編碼強制破解
- AMOS（Atomic macOS Stealer）：欺騙域名macOScloud.com、需終端命令執行、彈出軟體安裝權限提示
- ChatGPT釣魚活動：冒充OpenAI訂閱失敗通知、仿製官方網站、主要竊取信用卡、二次目標為登入憑證與令牌
- Cold Card：基於ESP32裝置、具硬體隨機數生成器、使用MicroPython（非密碼學級別）、已發生多起資金被盜案例
結論
結論“即使是離線硬體錢包，韌體層的隨機數漏洞也足以摧毀整個安全模型，隨機性質量是加密安全的基礎。”
完整解析
詳細這集播客內容涵蓋四個重要安全議題，從工具改進到資產安全威脅逐級遞升。
首先談的是SipTump.py工具的更新。該工具由DDA開發，用於從SIP檔案中提取元數據（如檔名、時間戳），即使檔案加密也能運作。在實際惡意檔案分析中，攻擊者有時會故意破壞SIP檔案以阻止標準工具分析，而新版本正式解決了這個難題。當檔案損壞時，系統無法自動偵測編碼方式，新功能允許使用者手動選擇ASCII或UTF-8，或在兩種編碼間嘗試破解，保證了即使在極端情況下也能提取關鍵資訊。
其次是AMOS惡意軟體的深度分析。AMOS相比傳統點擊驗證碼釣魚採用了更精細的社交工程策略。它透過註冊欺騙域名macOScloud.com偽裝成官方macOS工具包，誘導使用者在終端執行指定命令。被攻擊者會看到正常的軟體安裝權限提示對話框，由於用戶已經心理預期會安裝軟體，這層「合理性」大幅提升了攻擊的隱蔽性和成功率。相比之下，簡單的點擊驗證碼釣魚實際上違反了用戶預期（為什麼解決驗證碼還要安裝東西），反而會引起懷疑。
第三個重點是最近發現的ChatGPT釣魚活動。攻擊者發送看似來自OpenAI的郵件，聲稱使用者的訂閱付款失敗，要求點擊連結。連結導向高度仿製的ChatGPT/OpenAI官方網站，要求輸入信用卡資訊。雖然這波活動主要針對信用卡數據竊取，但類似的釣魚網站通常也會同步收集登入憑證和存取令牌，以便進一步侵害使用者帳號，這應該成為企業用戶安全意識訓練的素材。
最後、也最為嚴重的是Cold Card加密錢包的隨機數生成器漏洞。Cold Card基於ESP32硬體設備，透過離線存儲私鑰的方式被廣泛認為是相對安全的加密資產存儲方案。然而該錢包雖然配備了相對可靠的硬體隨機數生成器，但因為韌體缺陷，系統實際使用的是MicroPython內建的隨機數生成器——一個並非為密碼學應用設計的弱隨機數生成器。結果導致生成的私鑰缺乏足夠的隨機性，已有多位Cold Card使用者的資金遭竊。主講人建議受影響用戶立即檢查錢包狀況，若資金尚存，應該使用Cold Card生成全新的密鑰對，將資產轉移到新錢包，而不是簡單地導出舊私鑰重複使用。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
