答案已發布2 個月前Last edited 2 週前30 來源

CrashStealer及PamStealer：識破Apple防線嘅新一代macOS竊密軟體

Jamf Threat Labs喺2026年7月發現兩款全新macOS惡意軟體CrashStealer同PamStealer，分別利用Apple公證嘅下載器同Script Editor漏洞繞過Gatekeeper CrashStealer扮成Apple Crash Reporter，用到C++語言編寫，會經已公證嘅Werkbit應用程式散播，目標包括14款密碼管理員同約80個加密貨幣錢包延伸程式 PamStealer係Rust語言寫成嘅兩階段竊密軟體，透過假冒Maccy官方網站散播，會用Apple自家PAM API驗證用家密碼先至偷取

使用 Studio Global AI 搜尋並查核事實瀏覽更多熱門頁面

研究答案

重點

Jamf Threat Labs喺2026年7月發現兩款全新macOS惡意軟體CrashStealer同PamStealer，分別利用Apple公證嘅下載器同Script Editor漏洞繞過Gatekeeper
CrashStealer扮成Apple Crash Reporter，用到C++語言編寫，會經已公證嘅Werkbit應用程式散播，目標包括14款密碼管理員同約80個加密貨幣錢包延伸程式
PamStealer係Rust語言寫成嘅兩階段竊密軟體，透過假冒Maccy官方網站散播，會用Apple自家PAM API驗證用家密碼先至偷取
兩款惡意軟體都會喺受害者電腦上先確認密碼正確先至外傳，大幅提升攻擊成功率

AI-generated illustration of a macOS malware infection chain showing a notarized dropper bypassing Gatekeeper — Search & fact-check with cited sources for What are the key details about the two newly documented macOS infostealers — CrashStealer and PamAn AI-generated visual representing macOS malware execution chain, illustrating how notarized droppers can bypass Gatekeeper security.
AI 提示
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details about the two newly documented macOS infostealers — CrashStealer and Pam. Article summary: Here is the detailed breakdown of both macOS infostealers, based primarily on Jamf Threat Labs' research from July 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrati
openai.com

最新macOS惡意軟體警報：CrashStealer同PamStealer全面睇

網絡安全公司Jamf Threat Labs喺2026年7月相繼發現兩款全新macOS惡意軟體——CrashStealer同PamStealer，佢哋唔止繞過Apple嘅Gatekeeper保安機制，仲用到前所未見嘅技術去驗證偷到嘅密碼係咪用得，手法相當高明。^C^A^T^J

CrashStealer：扮成Apple Crash Reporter嘅C++竊密軟體

佢係啲咩？

CrashStealer係一隻用C++寫嘅macOS竊密軟體，由Jamf Threat Labs喺2026年7月上旬首次發現，並喺7月13至14日公開報告。^T^A^J 佢嘅手法係扮成Apple嘅Crash Reporter（崩潰報告工具），將惡意軟體命名為CrashReporter.app，連圖示同中繼資料都抄到十足，令用家唔會起疑。^A^B

點樣繞過Gatekeeper？

感染鏈嘅第一步係一個叫Werkbit嘅應用程式——呢個係已經獲得Apple公證（notarized）同簽署嘅程式，開發者ID係「Emil Grigorov」。^T^A^J 因為Apple嘅公證服務已經批咗佢，Gatekeeper會當佢係可信軟體，唔會彈出「未識別開發者」嘅警告。^A^J 用家下載同打開Werkbit之後，背景就會下載真正嘅CrashStealer到電腦。^T^J

佢偷啲乜？

CrashStealer偷嘅範圍好廣泛：

瀏覽器儲存嘅登入資料（Chrome、Firefox、Edge、Brave、Opera同Vivaldi）^T^J
大約14款密碼管理員，包括1Password^T^A
大約80個加密貨幣錢包瀏覽器延伸程式同本地錢包檔案^T^A
macOS Keychain資料同系統密碼^T^J

核心技術特點

本地驗證密碼先至偷：CrashStealer會彈出一個扮成Apple系統授權視窗嘅假對話框，叫用家輸入Mac登入密碼，然後喺本地驗證個密碼啱唔啱先用，確保黑客收到嘅係用得嘅密碼。^T^J
AES-GCM加密傳送：偷到嘅檔案會先用AES-GCM加密，先至送去遠端C2伺服器，令網絡層面嘅偵測更難。^T^J
偽裝同持續運行：感染之後會顯示一個假嘅Crash Reporter畫面嚟隱藏真正嘅偷竊行動，再將自己複製到~/Library/Caches/com.apple.crashreporter/，建立一個名為com.apple.crashreporter.helper嘅LaunchAgent，令佢可以喺重新開機後繼續運行。^F^B
佢仲會要求「完整磁碟存取權限」（Full Disk Access），擴大偷取範圍。^F

Apple嘅應對

Jamf通報Apple之後，Apple已經撤銷咗Werkbit嘅簽署憑證。^T^A

PamStealer：用Apple自家PAM API驗證密碼嘅Rust竊密軟體

佢係啲咩？

PamStealer係一款用Rust語言寫成、分兩階段運作嘅macOS竊密軟體，由Jamf喺2026年7月2日公開。^A^A^S 個名嚟自佢用Apple嘅PAM（Pluggable Authentication Modules）API嚟驗證偷到嘅密碼。^A^M^D^A

點樣散播同繞過Gatekeeper？

PamStealer透過模仿正版Maccy剪貼簿管理員嘅域名（例如maccyapp[.]com）嚟散播。^M^I^A 佢用嘅Gatekeeper繞過手法，係針對macOS Script Editor一個已知但未修補嘅漏洞：

受害者下載一個偽裝嘅磁碟映像檔，入面有一個編譯好嘅.scpt AppleScript檔案。^A^A^S
引導用家打開呢個檔案，然後按Command-R執行佢。^A^A^S
因為Script Editor係系統受信任嘅應用程式，Gatekeeper嘅com.apple.quarantine機制會被繞過，唔會顯示任何警告。^M^D^A

佢偷啲乜？

第二階段嘅Rust payload會偷取：

macOS登入密碼（經PAM）同本地管理員密碼。^M^A
瀏覽器儲存嘅登入資料、Cookies同剪貼簿內容。^A^S
macOS Keychain內容。^A^S
Ethereum錢包檔案同SSH金鑰。^S^Y

核心技術——PAM密碼驗證

呢個係PamStealer最特別嘅創新：

當macOS彈出標準嘅授權提示（例如「Maccy想作出修改」），用家輸入密碼。^D^A
PamStealer唔會直接記錄輸入咗啲乜，而係呼叫Apple自己嘅PAM API（pam_start、pam_authenticate），用系統嘅認證堆疊去測試個密碼係咪正確，先至記錄低。^A^M^D^A
如果密碼啱，就會外傳佢然後繼續偷其他資料；如果唔啱，可以再彈對話框或者中止操作，減少浪費時間喺錯誤密碼上。^D^A^S
呢種技術用Apple自己嘅API做驗證，比起傳統嘅鍵盤記錄器或者記憶體掃描器，會留低更少嘅鑑證痕跡。^D^A

對Mac用家嘅啟示

Apple公證機制變成武器：CrashStealer展示咗黑客可以成功將惡意軟體提交畀Apple嘅公證服務，攞到可以通過Gatekeeper嘅簽署。^T^J Apple撤銷憑證嘅機制係被動嘅，唔係預防性——惡意軟體可以傳播幾日至幾星期先被攔截。呢個情況同之前嘅MacSync同Odyssey Stealer家族類似，佢哋都係濫用有效嘅Apple開發者簽署。^M^F^S
Script Editor係保安盲點：PamStealer同越來越多嘅macOS威脅都識得透過系統受信任應用程式嚟執行AppleScript，直接繞過Gatekeeper。Jamf指出呢個係一個已知但未修補嘅漏洞。^D^A
macOS竊密軟體越嚟越精密：CrashStealer用到AES-GCM加密，PamStealer用到PAM API驗證，顯示黑客投入咗資源開發自訂嘅隱匿技術，唔再依賴現成嘅惡意軟體。^D^T^J Microsoft喺2026年2月都提到一個趨勢：macOS、Python同跨平台嘅竊密軟體用「ClickFix」社交工程引誘，偷取瀏覽器密碼、加密貨幣錢包同雲端服務憑證。^M
喺受害者電腦上驗證密碼係新趨勢：唔再靠撞密碼或者大包圍式收集，呢兩款惡意軟體都會先確認密碼喺受害者電腦上係用得嘅，先至外傳——大大提升黑客嘅成功率，亦減少因為錯誤登入而引起偵測嘅機會。^T^J 傳統嘅竊密軟體通常只係記錄輸入嘅內容，或者用dscl同security呢類指令，呢啲方法可能靜悄悄失敗或者觸發警報。^D^S

點樣保護自己？

只喺官方來源下載軟體：Apple App Store、開發者官方網站係最安全嘅選擇。
留意系統授權對話框：如果個對話框嘅外觀或者措辭有啲唔自然，就要用活動監視器檢查一下。
唔好隨便喺Script Editor按Command-R執行不明檔案：呢個係PamStealer嘅主要感染途徑。
定期更新macOS同軟體：Apple可能會針對呢啲漏洞推出更新。
考慮用企業級保安方案：Jamf呢類機構嘅解決方案可以偵測異常行為。

如果你懷疑自己嘅Mac中咗招，立即改晒所有密碼、檢查有冇異常嘅應用程式同LaunchAgent，同埋聯絡專業嘅IT保安團隊。

Studio Global AI

繼續你的研究

此頁麵包含一個有來源支援的答案，您可以在 Studio Global 內繼續。

使用 Studio Global AI 搜尋並查核事實

人們還問