CrashStealer：扮成Apple Crash Reporter嘅C++竊密軟體

佢係啲咩？

CrashStealer係一隻用C++寫嘅macOS竊密軟體，由Jamf Threat Labs喺2026年7月上旬首次發現，並喺7月13至14日公開報告。 佢嘅手法係扮成Apple嘅Crash Reporter（崩潰報告工具），將惡意軟體命名為CrashReporter.app，連圖示同中繼資料都抄到十足，令用家唔會起疑。

點樣繞過Gatekeeper？

感染鏈嘅第一步係一個叫Werkbit嘅應用程式——呢個係已經獲得Apple公證（notarized）同簽署嘅程式，開發者ID係「Emil Grigorov」。 因為Apple嘅公證服務已經批咗佢，Gatekeeper會當佢係可信軟體，唔會彈出「未識別開發者」嘅警告。 用家下載同打開Werkbit之後，背景就會下載真正嘅CrashStealer到電腦。

佢偷啲乜？

CrashStealer偷嘅範圍好廣泛：

• 瀏覽器儲存嘅登入資料（Chrome、Firefox、Edge、Brave、Opera同Vivaldi）
• 大約14款密碼管理員，包括1Password
• 大約80個加密貨幣錢包瀏覽器延伸程式同本地錢包檔案
• macOS Keychain資料同系統密碼

核心技術特點

• 本地驗證密碼先至偷：CrashStealer會彈出一個扮成Apple系統授權視窗嘅假對話框，叫用家輸入Mac登入密碼，然後喺本地驗證個密碼啱唔啱先用，確保黑客收到嘅係用得嘅密碼。
• AES-GCM加密傳送：偷到嘅檔案會先用AES-GCM加密，先至送去遠端C2伺服器，令網絡層面嘅偵測更難。
• 偽裝同持續運行：感染之後會顯示一個假嘅Crash Reporter畫面嚟隱藏真正嘅偷竊行動，再將自己複製到~/Library/Caches/com.apple.crashreporter/，建立一個名為com.apple.crashreporter.helper嘅LaunchAgent，令佢可以喺重新開機後繼續運行。
• 佢仲會要求「完整磁碟存取權限」（Full Disk Access），擴大偷取範圍。

Apple嘅應對

Jamf通報Apple之後，Apple已經撤銷咗Werkbit嘅簽署憑證。

PamStealer：用Apple自家PAM API驗證密碼嘅Rust竊密軟體

佢係啲咩？

PamStealer係一款用Rust語言寫成、分兩階段運作嘅macOS竊密軟體，由Jamf喺2026年7月2日公開。 個名嚟自佢用Apple嘅PAM（Pluggable Authentication Modules）API嚟驗證偷到嘅密碼。

點樣散播同繞過Gatekeeper？

PamStealer透過模仿正版Maccy剪貼簿管理員嘅域名（例如maccyapp[.]com）嚟散播。 佢用嘅Gatekeeper繞過手法，係針對macOS Script Editor一個已知但未修補嘅漏洞：

• 受害者下載一個偽裝嘅磁碟映像檔，入面有一個編譯好嘅.scpt AppleScript檔案。
• 引導用家打開呢個檔案，然後按Command-R執行佢。
• 因為Script Editor係系統受信任嘅應用程式，Gatekeeper嘅com.apple.quarantine機制會被繞過，唔會顯示任何警告。

佢偷啲乜？

第二階段嘅Rust payload會偷取：

• macOS登入密碼（經PAM）同本地管理員密碼。
• 瀏覽器儲存嘅登入資料、Cookies同剪貼簿內容。
• macOS Keychain內容。
• Ethereum錢包檔案同SSH金鑰。

核心技術——PAM密碼驗證

呢個係PamStealer最特別嘅創新：

• 當macOS彈出標準嘅授權提示（例如「Maccy想作出修改」），用家輸入密碼。
• PamStealer唔會直接記錄輸入咗啲乜，而係呼叫Apple自己嘅PAM API（pam_start、pam_authenticate），用系統嘅認證堆疊去測試個密碼係咪正確，先至記錄低。
• 如果密碼啱，就會外傳佢然後繼續偷其他資料；如果唔啱，可以再彈對話框或者中止操作，減少浪費時間喺錯誤密碼上。
• 呢種技術用Apple自己嘅API做驗證，比起傳統嘅鍵盤記錄器或者記憶體掃描器，會留低更少嘅鑑證痕跡。

對Mac用家嘅啟示

• Apple公證機制變成武器：CrashStealer展示咗黑客可以成功將惡意軟體提交畀Apple嘅公證服務，攞到可以通過Gatekeeper嘅簽署。 Apple撤銷憑證嘅機制係被動嘅，唔係預防性——惡意軟體可以傳播幾日至幾星期先被攔截。呢個情況同之前嘅MacSync同Odyssey Stealer家族類似，佢哋都係濫用有效嘅Apple開發者簽署。

• Script Editor係保安盲點：PamStealer同越來越多嘅macOS威脅都識得透過系統受信任應用程式嚟執行AppleScript，直接繞過Gatekeeper。Jamf指出呢個係一個已知但未修補嘅漏洞。

• macOS竊密軟體越嚟越精密：CrashStealer用到AES-GCM加密，PamStealer用到PAM API驗證，顯示黑客投入咗資源開發自訂嘅隱匿技術，唔再依賴現成嘅惡意軟體。 Microsoft喺2026年2月都提到一個趨勢：macOS、Python同跨平台嘅竊密軟體用「ClickFix」社交工程引誘，偷取瀏覽器密碼、加密貨幣錢包同雲端服務憑證。

• 喺受害者電腦上驗證密碼係新趨勢：唔再靠撞密碼或者大包圍式收集，呢兩款惡意軟體都會先確認密碼喺受害者電腦上係用得嘅，先至外傳——大大提升黑客嘅成功率，亦減少因為錯誤登入而引起偵測嘅機會。 傳統嘅竊密軟體通常只係記錄輸入嘅內容，或者用dscl同security呢類指令，呢啲方法可能靜悄悄失敗或者觸發警報。

點樣保護自己？

1. 只喺官方來源下載軟體：Apple App Store、開發者官方網站係最安全嘅選擇。
2. 留意系統授權對話框：如果個對話框嘅外觀或者措辭有啲唔自然，就要用活動監視器檢查一下。
3. 唔好隨便喺Script Editor按Command-R執行不明檔案：呢個係PamStealer嘅主要感染途徑。
4. 定期更新macOS同軟體：Apple可能會針對呢啲漏洞推出更新。
5. 考慮用企業級保安方案：Jamf呢類機構嘅解決方案可以偵測異常行為。

如果你懷疑自己嘅Mac中咗招，立即改晒所有密碼、檢查有冇異常嘅應用程式同LaunchAgent，同埋聯絡專業嘅IT保安團隊。

CrashStealer：扮成Apple Crash Reporter嘅C++竊密軟體

佢係啲咩？

CrashStealer係一隻用C++寫嘅macOS竊密軟體，由Jamf Threat Labs喺2026年7月上旬首次發現，並喺7月13至14日公開報告。 佢嘅手法係扮成Apple嘅Crash Reporter（崩潰報告工具），將惡意軟體命名為CrashReporter.app，連圖示同中繼資料都抄到十足，令用家唔會起疑。

點樣繞過Gatekeeper？

感染鏈嘅第一步係一個叫Werkbit嘅應用程式——呢個係已經獲得Apple公證（notarized）同簽署嘅程式，開發者ID係「Emil Grigorov」。 因為Apple嘅公證服務已經批咗佢，Gatekeeper會當佢係可信軟體，唔會彈出「未識別開發者」嘅警告。 用家下載同打開Werkbit之後，背景就會下載真正嘅CrashStealer到電腦。

佢偷啲乜？

CrashStealer偷嘅範圍好廣泛：

• 瀏覽器儲存嘅登入資料（Chrome、Firefox、Edge、Brave、Opera同Vivaldi）
• 大約14款密碼管理員，包括1Password
• 大約80個加密貨幣錢包瀏覽器延伸程式同本地錢包檔案
• macOS Keychain資料同系統密碼

核心技術特點

• 本地驗證密碼先至偷：CrashStealer會彈出一個扮成Apple系統授權視窗嘅假對話框，叫用家輸入Mac登入密碼，然後喺本地驗證個密碼啱唔啱先用，確保黑客收到嘅係用得嘅密碼。
• AES-GCM加密傳送：偷到嘅檔案會先用AES-GCM加密，先至送去遠端C2伺服器，令網絡層面嘅偵測更難。
• 偽裝同持續運行：感染之後會顯示一個假嘅Crash Reporter畫面嚟隱藏真正嘅偷竊行動，再將自己複製到~/Library/Caches/com.apple.crashreporter/，建立一個名為com.apple.crashreporter.helper嘅LaunchAgent，令佢可以喺重新開機後繼續運行。
• 佢仲會要求「完整磁碟存取權限」（Full Disk Access），擴大偷取範圍。

Apple嘅應對

Jamf通報Apple之後，Apple已經撤銷咗Werkbit嘅簽署憑證。

PamStealer：用Apple自家PAM API驗證密碼嘅Rust竊密軟體

佢係啲咩？

PamStealer係一款用Rust語言寫成、分兩階段運作嘅macOS竊密軟體，由Jamf喺2026年7月2日公開。 個名嚟自佢用Apple嘅PAM（Pluggable Authentication Modules）API嚟驗證偷到嘅密碼。

點樣散播同繞過Gatekeeper？

PamStealer透過模仿正版Maccy剪貼簿管理員嘅域名（例如maccyapp[.]com）嚟散播。 佢用嘅Gatekeeper繞過手法，係針對macOS Script Editor一個已知但未修補嘅漏洞：

• 受害者下載一個偽裝嘅磁碟映像檔，入面有一個編譯好嘅.scpt AppleScript檔案。
• 引導用家打開呢個檔案，然後按Command-R執行佢。
• 因為Script Editor係系統受信任嘅應用程式，Gatekeeper嘅com.apple.quarantine機制會被繞過，唔會顯示任何警告。

佢偷啲乜？

第二階段嘅Rust payload會偷取：

• macOS登入密碼（經PAM）同本地管理員密碼。
• 瀏覽器儲存嘅登入資料、Cookies同剪貼簿內容。
• macOS Keychain內容。
• Ethereum錢包檔案同SSH金鑰。

核心技術——PAM密碼驗證

呢個係PamStealer最特別嘅創新：

• 當macOS彈出標準嘅授權提示（例如「Maccy想作出修改」），用家輸入密碼。
• PamStealer唔會直接記錄輸入咗啲乜，而係呼叫Apple自己嘅PAM API（pam_start、pam_authenticate），用系統嘅認證堆疊去測試個密碼係咪正確，先至記錄低。
• 如果密碼啱，就會外傳佢然後繼續偷其他資料；如果唔啱，可以再彈對話框或者中止操作，減少浪費時間喺錯誤密碼上。
• 呢種技術用Apple自己嘅API做驗證，比起傳統嘅鍵盤記錄器或者記憶體掃描器，會留低更少嘅鑑證痕跡。

對Mac用家嘅啟示

• Apple公證機制變成武器：CrashStealer展示咗黑客可以成功將惡意軟體提交畀Apple嘅公證服務，攞到可以通過Gatekeeper嘅簽署。 Apple撤銷憑證嘅機制係被動嘅，唔係預防性——惡意軟體可以傳播幾日至幾星期先被攔截。呢個情況同之前嘅MacSync同Odyssey Stealer家族類似，佢哋都係濫用有效嘅Apple開發者簽署。

• Script Editor係保安盲點：PamStealer同越來越多嘅macOS威脅都識得透過系統受信任應用程式嚟執行AppleScript，直接繞過Gatekeeper。Jamf指出呢個係一個已知但未修補嘅漏洞。

• macOS竊密軟體越嚟越精密：CrashStealer用到AES-GCM加密，PamStealer用到PAM API驗證，顯示黑客投入咗資源開發自訂嘅隱匿技術，唔再依賴現成嘅惡意軟體。 Microsoft喺2026年2月都提到一個趨勢：macOS、Python同跨平台嘅竊密軟體用「ClickFix」社交工程引誘，偷取瀏覽器密碼、加密貨幣錢包同雲端服務憑證。

• 喺受害者電腦上驗證密碼係新趨勢：唔再靠撞密碼或者大包圍式收集，呢兩款惡意軟體都會先確認密碼喺受害者電腦上係用得嘅，先至外傳——大大提升黑客嘅成功率，亦減少因為錯誤登入而引起偵測嘅機會。 傳統嘅竊密軟體通常只係記錄輸入嘅內容，或者用dscl同security呢類指令，呢啲方法可能靜悄悄失敗或者觸發警報。

點樣保護自己？

1. 只喺官方來源下載軟體：Apple App Store、開發者官方網站係最安全嘅選擇。
2. 留意系統授權對話框：如果個對話框嘅外觀或者措辭有啲唔自然，就要用活動監視器檢查一下。
3. 唔好隨便喺Script Editor按Command-R執行不明檔案：呢個係PamStealer嘅主要感染途徑。
4. 定期更新macOS同軟體：Apple可能會針對呢啲漏洞推出更新。
5. 考慮用企業級保安方案：Jamf呢類機構嘅解決方案可以偵測異常行為。

如果你懷疑自己嘅Mac中咗招，立即改晒所有密碼、檢查有冇異常嘅應用程式同LaunchAgent，同埋聯絡專業嘅IT保安團隊。