北京
今年5月初，Jamf威脅實驗室的研究員像往常一樣掃視VirusTotal上自動上傳的可疑文件。一個不起眼的Mac樣本引起了他們的警覺。隨后的兩個月里，他們發(fā)現(xiàn)自家客戶設備里開始零星出現(xiàn)與這個樣本一致的檢測記錄，到7月初，這些警報連成了一幅清晰的攻擊圖——一種此前未被公開記錄的Mac信息竊取木馬開始活躍，它有個直白的技術代號：CrashStealer。
真正讓團隊感到不對的是這條攻擊鏈的第一環(huán)。一個名叫Werkbit的會議或協(xié)作應用，不但持有有效的蘋果開發(fā)者ID，還通過了蘋果的公證流程。這意味著它能在不彈出“未識別開發(fā)者”警告的情況下，直接運行在受害者的Mac上。簽名的開發(fā)者欄里寫著一個名字：Emil Grigorov。在Jamf將發(fā)現(xiàn)同步給蘋果安全團隊后，這套簽名憑證已被撤銷，但在那之前，它已經(jīng)幫助攻擊者繞過了Gatekeeper的第一道檢查。
更罕見的是，連裝載這個應用的磁盤映像文件都經(jīng)過了簽名。Jamf指出，整套分發(fā)包的系統(tǒng)簽名和公證疊加在一起，讓Werkbit看起來非常像正規(guī)企業(yè)發(fā)布的產(chǎn)品。攻擊者顯然是算準了這一點：他們不需要零點擊漏洞，也不追求一擊必殺，只要有人下載、啟動Werkbit，然后順著流程輸入一次Mac登錄密碼，CrashStealer就能拿到它想要的全部目標——密碼、瀏覽器數(shù)據(jù)、加密貨幣憑證。
研究人員順藤摸瓜，發(fā)現(xiàn)Werkbit的下載頁面藏在werkbit[.]io這個域名下，要拿到安裝包必須先輸入一個會議PIN碼。這種做法直接過濾掉了偶遇的訪客和自動化掃描器，整個域名注冊于2026年6月下旬，時間緊挨著惡意軟件的構建日期，說明這次行動從一開始就是定向投放，沒有對公開網(wǎng)絡敞開過口子。
Werkbit的可執(zhí)行文件名叫veltod，啟動后會從一個GitHub倉庫mgothiclove/pkeys里拉取一份隱藏的指令文件。這批指令驅動著應用去向endpoint-api-v1[.]com下載一段混淆過的腳本，再由腳本拉取、重簽名并最終啟動CrashStealer。在同一個攻擊者控制的域名下，Jamf還發(fā)現(xiàn)了一個標著“Command Panel”的實時登錄頁面，基礎設施的復用直接把控制面板和CrashStealer的分發(fā)鏈條綁在了一起，但研究者還沒有公開這個面板的完整能力。
即便整套機制高度依賴用戶交互，它遠非無害。CrashStealer把偽裝可信的第一階段應用、足以假亂真的蘋果系統(tǒng)提示、大范圍的數(shù)據(jù)采集、加密暫存區(qū)，以及用戶登錄后自動恢復運行的持久化手段，焊成了一條完整的偷渡鏈條。攻擊者并沒打算在公開互聯(lián)網(wǎng)上大撒網(wǎng)，而是在少數(shù)選定的受害者和監(jiān)測系統(tǒng)之間建了一道信息圍墻。
Jamf還發(fā)現(xiàn)，這個行動的范圍不止一個Mac應用。他們找到了一組長相極為相似的會議和協(xié)作類域名，拼寫接近Cohezo、Cordinex、Synerix、Collabox和Werknova，全都通過同一個后端icky-lyrical[.]com串聯(lián)起來。研究人員認為，這場借助蘋果公證體系掩護的定向竊密行動，極可能還有更多偽裝面孔，分批走向了不同的收件箱。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
