假崩溃弹窗盗密码：新型Mac木马盯上你的钥匙串和加密钱包

“系统崩溃，请发送报告给Apple。”这条提示你见过吗？现在，连这玩意儿都有假冒的了。

安全机构Jamf威胁实验室最近挖出一种在野外活跃的Mac恶意软件，代号CrashStealer。它会甩出一个以假乱真的崩溃报告对话框，诱导你交出Mac登录密码。而一旦你填了，攻击者就能顺走钥匙串、密码管理器里所有账号，连加密货币钱包也不放过。

这手法刁钻得让人想吐槽：黑客不搞勒索了，改行当苹果客服了。但更值得警惕的是，它的投递器居然找正经开发者ID做过公证，能绕过macOS的Gatekeeper。咱们一项项拆开看。

一、它怎么骗你输密码

正常情况下，某个App崩了之后，macOS会弹出“诊断与使用数据”报告，附上一段“是否发送给Apple”的选项。CrashStealer就直接山寨了这个界面。Jamf追溯到5月份VirusTotal上一个可疑样本，当时它已经模仿了苹果的崩溃报告框架，像个半成品的窃密工具。等到7月初，野外检测到了与内部规则匹配的有效载荷，说明这玩意儿已经从开发板进化成了实战武器。

对话框长什么样原文没给截图，但从描述能猜到几处破绽：它出现在不熟的App崩溃之后，而且可能附带一个要求输入当前用户密码的输入框，理由多半是“完成报告需要系统授权”。这时候，如果你没多想，敲进密码，就等于亲手打开了自家数据的大门。因为那个对话框根本不是系统的，而是攻击者画的。

二、投递方式：夹带“正经打工人”的签名

所有故事的第一环都是“你从哪儿下载的”。这一回，恶意软件是打包在一个叫“Werkbit Setup”的磁盘映像里。双击挂载后，会看到名为Werkbit.app的软件包。里面的可执行文件叫veltod，包标识符是dev.golove.velto。

这套内容平平无奇，可它的外衣却精密得离谱：投递器不仅有有效的代码签名和公证票据，而且磁盘映像本身都签了名——这在恶意软件交付中十分罕见，因为攻击者往常只签里面的应用，容器磁盘映像常被故意留空。而这次，签名者是Emil Grigorov，开发者ID为WWB7JA7AQV，且启用了Hardened Runtime，针对arm64和x86_64双架构编译、签章、公证一条龙。也就是说，在证书被吊销之前，这个伪装成正常软件的安装包能顺利通过Gatekeeper检测，macOS不会弹出任何警示。

Jamf在分析中指出，投递器的合法度令人错愕：代码签名有效、公证票订合、加固运行时打开。这意味着苹果的审核流程和自动公证服务在初期没能识别它是恶意载体。直到安全公司跟进、苹果撤销相应凭证后，Gatekeeper才开始拦截。可对于那些已经在5月到7月窗口期就中招的用户，门禁早已形同虚设。

三、一旦被偷，它拿走你哪几样

恶意软件不是闹着玩的。原文白纸黑字写明了风险范围：当你在那张假报告里奉上了Mac密码，攻击者就能拿到“a huge range of personal data, including your password managers and cryptocurrency wallets”。也就是说，它会把目标精确对准现代人数字生活的两个命根子：密码库和加密钱包。

密码管理器——不管你是用iCloud钥匙串、1Password，还是Bitwarden——都依赖主密码或系统认证来解密存储的凭据。一旦系统级密码泄露，配合钥匙串访问权限，这些库就如同书架上的书任人翻阅。而加密货币钱包私钥若以文件或钥匙串形式存于本地，被拖走就是直接的经济损失。攻击者完全不需要再攻破第二道防线，你开机输的那一行密码，成了万能钥匙。

这种精准窃取让人想起之前针对M1/M2芯片的银鲳鱼攻击链，但CrashStealer更“务实”：不搞高级漏洞，专攻人的本能反应。谁还没见过App崩溃？谁会在输系统密码前反复迟疑？它赌的就是用户条件反射式的信任。

四、苹果已经补票，但漏网之鱼要防

据Macworld报道，苹果在获知情况后已经吊销了涉事开发者ID的证书，这意味着带有此签名的安装包会被Gatekeeper直接挡住。但安全社区提醒，吊销是后置动作，恶意软件去改个马甲、换个ID现身并非难事。真正的防御还得从下载源头掐断：只从Mac App Store或可信开发商官网获取软件，面对任何来路不明的弹出密码请求，哪怕它长得再像系统原生，也要先打一个问号。