CrashStealer 与 PamStealer：苹果生态的新威胁

2026年7月，安全研究机构 Jamf Threat Labs 连续披露了两款针对 macOS 平台的新型信息窃取软件——CrashStealer 和 PamStealer^CATJ。这两款恶意软件都具备绕过苹果 Gatekeeper 安全机制的能力，并在窃取凭证前进行本地密码验证，标志着 macOS 平台威胁的一次显著升级。

CrashStealer：伪装成崩溃报告工具的 C++ 窃密者

它是什么？ CrashStealer 是一款用原生 C++ 编写的 macOS 恶意软件，由 Jamf Threat Labs 在 2026年7月初首次发现^TAJ。它通过将自己的二进制文件命名为 CrashReporter.app，并完全模仿苹果官方崩溃报告工具的图标和元数据，来躲避用户的警惕^AB。

如何绕过 Gatekeeper？ 攻击链的第一步是一个名为 Werkbit 的应用程序——这是一个经过苹果公证、带有有效开发者 ID（关联开发者“Emil Grigorov”）的 app^TAJ。由于通过了苹果的公证服务，Gatekeeper 会将其视为可信软件，不会弹出“未识别开发者”的典型警告^AJ。一旦用户在诱导下下载并打开 Werkbit，一个脚本就会在后台下载真正的 CrashStealer 载荷^TJ。

窃取哪些数据？ CrashStealer 的窃取范围广泛：

• Chrome、Firefox、Edge、Brave、Opera 和 Vivaldi 等主流浏览器的保存凭证^TJ。
• 约 14 款密码管理器，其中包括 1Password^TA。
• 约 80 种加密货币钱包的浏览器扩展及本地钱包文件^TA。
• macOS 钥匙串数据和系统密码^TJ。

核心技术特点：

• 本地密码验证后窃取。 CrashStealer 会弹出一个仿冒苹果官方风格的对话框，诱骗用户输入 Mac 登录密码。关键的是，它会在本地验证该密码是否正确，然后才开始窃取数据——这确保了攻击者获得的凭证是有效的^TJ。
• AES-GCM 加密。 窃取的数据在被发送到远程命令与控制服务器之前，会经过 AES-GCM 加密，使得网络层面的检测更加困难^TJ。
• 持久化与伪装。 感染后，它会显示一个看似真实的假崩溃报告界面来进行掩护，并将自身复制到 ~/Library/Caches/com.apple.crashreporter/ 目录，同时创建名为 com.apple.crashreporter.helper 的 LaunchAgent 以实现开机自启^FB。该恶意软件还会请求“完全磁盘访问权限”以扩大窃取范围^F。

苹果的应对。 在 Jamf 通报后，苹果已吊销了 Werkbit 的签名证书^TA。

PamStealer：利用苹果自身 PAM 接口验证密码的 Rust 恶意软件

它是什么？ PamStealer 是一款基于 Rust 编写、分两阶段执行的 macOS 信息窃取软件，由 Jamf 于 2026年7月2日公开披露^AAS。其命名的由来，是其创新性地使用了苹果的 可插拔认证模块 接口来验证窃取的密码^AMDA。

分发方式与 Gatekeeper 规避。 PamStealer 通过模仿正规 Maccy 剪贴板管理器^MIA的拼写错误域名（例如 maccyapp[.]com）来分发。它利用 macOS 脚本编辑器中一个已知但尚未修复的漏洞来绕过 Gatekeeper：

• 受害者下载一个篡改过的磁盘映像，内含一个已编译的 .scpt 文件^AAS。
• 攻击者诱导受害者用脚本编辑器打开该文件，并按下 Command-R 快捷键来运行^AAS。
• 因为脚本编辑器是受信任的系统应用，Gatekeeper 的 com.apple.quarantine 保护机制被绕过，不会显示任何警告^MDA。

窃取哪些数据？ PamStealer 的第二阶段 Rust 载荷能够窃取：

• 通过 PAM 接口获取的 macOS 登录密码和本地管理员密码^MA。
• 浏览器保存的凭证、Cookie 和剪贴板内容^AS。
• macOS 钥匙串数据^AS。
• 以太坊钱包文件和 SSH 密钥^SY。

核心技术——基于 PAM 的密码验证： 这是 PamStealer 的标志性创新之处：

• 当 macOS 显示标准授权提示框时，用户会输入密码^DA。
• 与普通窃密软件直接捕获不同，PamStealer 会调用苹果官方的 PAM API，在记录密码前，先用系统的认证栈测试密码是否正确^AMDA。
• 如果密码正确，它才会将密码外泄并开始窃取其他数据。若密码错误，它可以再次弹出提示或中止操作，从而避免了在无效凭证上浪费资源^DAS。
• 这种技术留下的取证痕迹更少，因为它使用的是苹果官方的 API 进行验证，而不是挂钩系统调用或读取内存缓冲区^DA。

对 Mac 威胁格局的深远影响

• 公证服务沦为武器。 CrashStealer 的案例证明，攻击者能够成功向苹果的公证服务提交恶意软件并获得通过 Gatekeeper 的签名^TJ。苹果的撤销流程是被动响应式的，而非主动预防——在此期间恶意软件可能已经传播数天或数周。此前在 MacSync 和 Odyssey Stealer 等恶意软件家族中也出现过类似滥用苹果开发者签名的模式^MFS。

• 脚本编辑器成为安全盲点。 PamStealer 和被越来越多的新威胁，都利用了通过受信任系统应用运行苹果脚本可以完全绕过 Gatekeeper 这一漏洞。Jamf 指出，这是一个已知但尚未被修复的安全缺口^DA。

• Mac 信息窃取软件正变得更加复杂。 使用 AES-GCM 加密窃取的数据（CrashStealer）和利用 PAM API 进行验证（PamStealer）表明，攻击者投入了定制化和隐蔽化的攻击技术，而非依赖现成的恶意软件^DTJ。微软在 2026年2月的一份报告中也指出了这一趋势：众多 macOS、Python 和跨平台信息窃取软件正在利用“ClickFix”类社会工程诱饵来窃取浏览器密码、加密货币钱包和云服务凭证^M。

• 设备端密码验证成为新标配。 这两款恶意软件都会在受害者的机器上确认密码有效后才将其外泄——这提高了攻击者的成功率，并减少了因使用错误密码登录而被发现的可能^TJ。这是恶意软件演化中的一个重要进步：常见的信息窃取软件要么捕获任何输入的字符，要么使用 dscl 或 security 命令等可能失败或触发警报的技术^DS。