新型 CrashStealer 恶意软件冒充 macOS 崩溃报告窃取用户密码

安全研究人员发现了一种名为“CrashStealer”的针对 macOS 用户的复杂新型恶意软件。这款恶意软件尤其危险，因为它能够巧妙地模仿苹果公司自家的系统崩溃报告工具，极易使毫无戒心的用户上当受骗。

CrashStealer 的工作原理

根据安全公司 Jamf 的分析，CrashStealer 会伪装成合法应用程序，通常伪装成名为“Werkbit”的会议平台。一旦用户被诱骗下载该软件，它就会利用一个经过苹果公司签名和公证的安装程序。通过利用这种看似官方的签名，该恶意软件成功绕过了 macOS Gatekeeper——旨在防止未经授权或恶意软件在操作系统上运行的安全机制。

攻击剖析

启动后，该应用程序会显示一个欺诈性的系统提示，要求用户输入密码——这在合法软件安装过程中很常见。

当受害者照做并输入凭据后，恶意软件便可获得访问 macOS 钥匙串所需的授权。这个加密的保险库包含高度敏感的数据，包括：

• Safari 登录凭据
• 应用程序密码
• Wi-Fi 网络密钥

除了钥匙串之外，该恶意软件还能从 Chrome、Firefox 和其他基于 Chromium 的浏览器抓取 cookie 和登录凭据。它还会窃取大约 80 种不同的加密货币钱包扩展程序和多个流行的密码管理应用程序（例如 1Password 和 LastPass）中的数据。

数据泄露

一旦敏感信息被窃取，CrashStealer 就会加密窃取的数据，将其压缩成隐藏的 ZIP 文件，并将这些软件包上传到攻击者运营的远程命令与控制 (C&C) 服务器。

如何保护您的 Mac

为了防御此类威胁，用户应遵循以下安全最佳实践：

1. 避免侧载： 仅从 Mac App Store 或直接从受信任的、经过验证的开发者网站安装软件。
2. 谨慎对待提示： 对意外出现的系统密码提示保持高度警惕，尤其是在安装新应用程序后出现的提示。
3. 采取额外的安全措施： 虽然 Gatekeeper 是一道强大的第一道防线，但它并非万无一失。绝对可靠。使用信誉良好的第三方 macOS 防病毒软件可以提供重要的第二层保护。
4. 保持警惕： 务必验证任何软件或安装程序的真实性，尤其是在从非官方来源或未经请求的链接获取的情况下。