惡意軟件CrashStealer：用蘋果公證的“掩護馬”騙過Gatekeeper

“在收網之前，它會先用本地驗證來確認受害者的登錄密碼，再大范圍掃描瀏覽器、加密貨幣錢包、密碼管理器與鑰匙串，最后把竊取的數據用AES-GCM加密，通過libcurl外傳——更狡猾的是，它還會把自己復制一份并重新簽名，以此實現持久駐留?！盝amf Threat Labs的安全研究員Thijs Xhaflaire在分享給The Hacker News的報告中，這樣描述一款新出現的macOS信息竊取木馬CrashStealer。僅僅這一段話，就暴露了這款惡意軟件的一系列精心設計：它不像多數同類那樣依賴AppleScript做投遞器，也不在Objective-C的包裝層上打轉，而是直接用原生C++打造，既精簡又隱蔽。

從整個攻擊鏈來看，CrashStealer的第一步就把自己偽裝得非常“合規”。它由一個經過蘋果官方公證的投遞器進行分發，這個投遞器被做成一個名為“Werkbit.app”的磁盤映像文件。磁盤映像本身以及其中的二進制文件都帶有有效的開發者ID（Emil Grigorov，ID為WWB7JA7AQV），因此可以毫無障礙地通過Gatekeeper的安全檢查。這種手法并不新鮮，卻是攻擊者持續利用的薄弱點：只要拿到一個合法的開發者簽名，macOS的防線就會暫時撤除。

但分發環節還有一個更令人困惑的細節。該磁盤映像來自域名“werkbit[.]io”，這個域名的注冊時間是2026年6月。更不尋常的是，下載并不是公開開放的——網站要求來訪者輸入一個正確的會議PIN碼，只有拿到這個碼的人才能獲得安裝包。這無疑是一種有目標的定向分發手段，攻擊者借此篩選受害者，降低被安全廠商提早發現的風險。Jamf方面進一步調查發現，與此次行動共享后端基礎設施的還有多個其他域名，這意味著CrashStealer很可能是一場橫跨多平臺、多地區的大規模攻擊活動的一部分。

當用戶真的掛載了這個磁盤映像，屏幕上會出現一個安裝引導界面，它給出的指示居然是“用右鍵點擊應用，然后選擇‘打開’”。對于那些尚不熟悉macOS安全特性的用戶來說，這個引導看起來像是在幫忙繞過未知開發者的警告，實際上卻是把執行惡意代碼的主動權交到了用戶手里。一旦運行，“veltod”可執行文件就會立刻聯系一個GitHub倉庫（github.com/mgothiclove），去獲取一個名為“sys.cache”的文件。這個看似普通的名字背后，其實藏著一條加密的命令：它從中提取出curl命令并拉下一個shell腳本。這個腳本扮演的是下載器的角色，負責把下一階段的有效載荷——名為“CrashReporter.dmg”的文件——拉取到“/tmp”目錄下，靜待執行。

CrashStealer在成功啟動后的行為幾乎是一氣呵成的。它首先把自己注冊為LaunchAgent，這就保證了即使系統重啟，木馬也能繼續活躍。接著，它開始施加各種反分析手段，讓沙箱和調試器難以追蹤。然后屏幕上會彈出密碼提示框，受害者會像在正常系統操作里那樣輸入登錄密碼。木馬收到密碼后，并不會立刻外傳，而是在本地進行驗證，驗證通過后，它就利用這個密碼解鎖登錄鑰匙串，從而可以讀取保存在鑰匙串中的各種憑據。更嚴重的是，它還會列出系統中已安裝的安全工具與分析軟件，好判斷自己有沒有被盯上。

這些前期準備完成以后，真正的大規模數據收割才拉開序幕。CrashStealer盯上的目標極為廣泛，幾乎覆蓋了一個用戶數字生活的所有關鍵角落。在瀏覽器端，所有基于Chromium內核的家族成員無一幸免：Google Chrome、Brave、Microsoft Edge、Opera、Opera GX、Vivaldi、Chromium以及Naver Whale，它都能從中抽取登錄憑據。在加密貨幣錢包擴展方面，它列出了約80個目標，包括MetaMask、Phantom、Coinbase、Trust Wallet、Rabby、OKX Wallet、Exodus、Keplr、Solflare、Backpack等，這些錢包一旦被攻破，用戶的加密資產就形同裸奔。密碼管理器同樣受到重點“關照”，1Password、Bitwarden、LastPass、Dashlane、Keeper、KeePassXC、NordPass、Enpass和RoboForm等14款主流管理工具全在其掠奪范圍內。除此之外，它還會掃描用戶“~/Documents”和“~/Downloads”目錄下的文件，把其中看起來可能有價值的文檔一并打包。

所有竊取到的數據最終會被壓縮成一個ZIP歸檔，并通過加密通道發送到攻擊者控制的服務器（IP地址179.43.166[.]242）。從Jamf Threat Labs描繪的整個過程來看，CrashStealer的設計者顯然對macOS的安全機制和人類行為有著十分細致的觀察：他們知道Gatekeeper可以靠公證繞開，知道用戶會按照屏幕上“右鍵打開”的指示去做，知道彈出一個與系統風格類似的密碼框時大多數人不會多想，更知道把下載邏輯藏在GitHub和多重解碼里能拖慢安全團隊的分析速度。一場原本可能被扼殺在搖籃里的攻擊，正因這些被看透的行為習慣，一路順暢地走到了數據外傳的最后一步。

值得注意的是，CrashStealer將整套數據搜集、加密和傳輸的邏輯全部封裝在原生C++代碼中，相比用腳本語言編寫的同類木馬，它更難以被靜態特征庫捕捉，也更容易與合法的系統進程混在一起。這反映出macOS平臺上的威脅已經從“腳本小子”時代跨入了一個更精密的階段——攻擊者不再滿足于簡單的外殼，而是刻意追求一種“看起來就像正常軟件”的存在感。而那個由真實開發者簽名且被公證過的投遞器，就是這一思維之下最長效的保護傘。

Jamf Threat Labs的發現還揭示出一個更大的隱憂。研究人員指出，圍繞此次行動所關聯的后端服務器和域名不止“werkbit[.]io”一個，說明這套基礎設施在同時支撐著多個攻擊面。如果CrashStealer真的是一場橫跨不同操作系統的多平臺戰役的一部分，那目前看到的可能只是冰山一角：在macOS上它表現為一個信息竊取器，在Windows或Linux上也許會變形成另一個模塊。這種共用后端的架構能讓攻擊者以較低的成本快速切換目標，一旦某個域名或載荷被曝光，他們可以即刻切換，不給防御方留下完整的畫像。

從防御的視角來看，CrashStealer的出現再次提醒人們，不能把蘋果的公證和Gatekeeper視為絕對可靠的安全屏障。簽名和公證機制確實有效阻擋了大量未簽名的惡意軟件，但它們沒有辦法檢測開發者本身是否懷有惡意。只要攻擊者愿意支付開發者賬號費用并通過公證審核，一份看似清白的應用就可以被簽上合法的名頭，堂而皇之地分發。用戶教育也是一個繞不過去的話題。當系統提示“此軟件來自未識別的開發者”時，很多人會被引導用右鍵打開的方式強行繞過，而CrashStealer恰恰利用了這種心理，把繞過動作包裝成安裝向導的一個標準步驟，進一步削弱了用戶的安全警惕。

總的來說，CrashStealer并非一個簡單的信息竊取工具，而是一個濃縮了供應鏈偽裝、本地驗證、多重下載鏈和廣泛數據采集的綜合威脅。它用真實的開發者ID獲得了Gatekeeper的信任，用會議PIN碼鎖定了目標群體，用看似簡陋卻行之有效的界面誘導用戶親手打開惡意代碼，再以C++內核靜默收網。對于信息竊取木馬而言，這種設計已經超出了普通“腳本小子”的想象力，進入了具有專業組織背景的攻擊層級。而關于那些尚未浮現的后臺域名、未知的變種載荷以及可能的跨平臺聯動，仍留下了太多個讓安全社區既困惑又必須繼續追查下去的線索。