假崩潰彈窗盜密碼：新型Mac木馬盯上你的鑰匙串和加密錢包

“系統崩潰，請發送報告給Apple。”這條提示你見過嗎？現在，連這玩意兒都有假冒的了。

安全機構Jamf威脅實驗室最近挖出一種在野外活躍的Mac惡意軟件，代號CrashStealer。它會甩出一個以假亂真的崩潰報告對話框，誘導你交出Mac登錄密碼。而一旦你填了，攻擊者就能順走鑰匙串、密碼管理器里所有賬號，連加密貨幣錢包也不放過。

這手法刁鉆得讓人想吐槽：黑客不搞勒索了，改行當蘋果客服了。但更值得警惕的是，它的投遞器居然找正經開發者ID做過公證，能繞過macOS的Gatekeeper。咱們一項項拆開看。

一、它怎么騙你輸密碼

正常情況下，某個App崩了之后，macOS會彈出“診斷與使用數據”報告，附上一段“是否發送給Apple”的選項。CrashStealer就直接山寨了這個界面。Jamf追溯到5月份VirusTotal上一個可疑樣本，當時它已經模仿了蘋果的崩潰報告框架，像個半成品的竊密工具。等到7月初，野外檢測到了與內部規則匹配的有效載荷，說明這玩意兒已經從開發板進化成了實戰武器。

對話框長什么樣原文沒給截圖，但從描述能猜到幾處破綻：它出現在不熟的App崩潰之后，而且可能附帶一個要求輸入當前用戶密碼的輸入框，理由多半是“完成報告需要系統授權”。這時候，如果你沒多想，敲進密碼，就等于親手打開了自家數據的大門。因為那個對話框根本不是系統的，而是攻擊者畫的。

二、投遞方式：夾帶“正經打工人”的簽名

所有故事的第一環都是“你從哪兒下載的”。這一回，惡意軟件是打包在一個叫“Werkbit Setup”的磁盤映像里。雙擊掛載后，會看到名為Werkbit.app的軟件包。里面的可執行文件叫veltod，包標識符是dev.golove.velto。

這套內容平平無奇，可它的外衣卻精密得離譜：投遞器不僅有有效的代碼簽名和公證票據，而且磁盤映像本身都簽了名——這在惡意軟件交付中十分罕見，因為攻擊者往常只簽里面的應用，容器磁盤映像常被故意留空。而這次，簽名者是Emil Grigorov，開發者ID為WWB7JA7AQV，且啟用了Hardened Runtime，針對arm64和x86_64雙架構編譯、簽章、公證一條龍。也就是說，在證書被吊銷之前，這個偽裝成正常軟件的安裝包能順利通過Gatekeeper檢測，macOS不會彈出任何警示。

Jamf在分析中指出，投遞器的合法度令人錯愕：代碼簽名有效、公證票訂合、加固運行時打開。這意味著蘋果的審核流程和自動公證服務在初期沒能識別它是惡意載體。直到安全公司跟進、蘋果撤銷相應憑證后，Gatekeeper才開始攔截。可對于那些已經在5月到7月窗口期就中招的用戶，門禁早已形同虛設。

三、一旦被偷，它拿走你哪幾樣

惡意軟件不是鬧著玩的。原文白紙黑字寫明了風險范圍：當你在那張假報告里奉上了Mac密碼，攻擊者就能拿到“a huge range of personal data, including your password managers and cryptocurrency wallets”。也就是說，它會把目標精確對準現代人數字生活的兩個命根子：密碼庫和加密錢包。

密碼管理器——不管你是用iCloud鑰匙串、1Password，還是Bitwarden——都依賴主密碼或系統認證來解密存儲的憑據。一旦系統級密碼泄露，配合鑰匙串訪問權限，這些庫就如同書架上的書任人翻閱。而加密貨幣錢包私鑰若以文件或鑰匙串形式存于本地，被拖走就是直接的經濟損失。攻擊者完全不需要再攻破第二道防線，你開機輸的那一行密碼，成了萬能鑰匙。

這種精準竊取讓人想起之前針對M1/M2芯片的銀鯧魚攻擊鏈，但CrashStealer更“務實”：不搞高級漏洞，專攻人的本能反應。誰還沒見過App崩潰？誰會在輸系統密碼前反復遲疑？它賭的就是用戶條件反射式的信任。

四、蘋果已經補票，但漏網之魚要防

據Macworld報道，蘋果在獲知情況后已經吊銷了涉事開發者ID的證書，這意味著帶有此簽名的安裝包會被Gatekeeper直接擋住。但安全社區提醒，吊銷是后置動作，惡意軟件去改個馬甲、換個ID現身并非難事。真正的防御還得從下載源頭掐斷：只從Mac App Store或可信開發商官網獲取軟件，面對任何來路不明的彈出密碼請求，哪怕它長得再像系統原生，也要先打一個問號。