【慢雾：针对macOS系统恶意软件RustBucket可触发恶意活动密钥】

【慢雾：针对macOS系统恶意软件RustBucket可触发恶意活动密钥】2023年05月23日12点12分老不正经报道，SlowMist发布安全警报，针对macOS运行系统的Rust和Objective-C编写的恶意软件RustBucket，感染链由一个macOS安装程序组成，该安装程序安装了一个带后门但功能正常的PDF阅读器。然后伪造的PDF阅读器需要打开一个特定的PDF文件，该文件作为触发恶意活动的密钥。

微软发现苹果 macOS 漏洞，可植入恶意软件

微软发现苹果macOS漏洞，可植入恶意软件微软于今年7月发现了一个macOS漏洞，可以绕过Gatekeeper安全机制执行恶意软件。微软将发现的这个macOS漏洞称之为“Achilles”，并通过“CoordinatedVulnerabilityDisclosure”将其告知给了苹果公司。该漏洞允许攻击者绕过苹果的Gatekeeper安全机制，在Mac设备上植入任意恶意软件。苹果公司在收到微软的报告之后，在本月13日发布的macOS13（Ventura）、macOS12.6.2（Monterey）和macOS1.7.2（BigSur）更新中修复了这个漏洞。

微软安全研究人员发现macOS漏洞 可让恶意软件绕过安全检查

微软安全研究人员发现macOS漏洞可让恶意软件绕过安全检查Gatekeeper是一个macOS安全功能，它自动检查所有从互联网上下载的应用程序是否经过公证和开发者签名（经苹果公司批准），在启动前要求用户确认，或发出应用程序不可信的警告。这是通过检查一个名为com.apple.quarantine的扩展属性来实现的，该属性由网络浏览器分配给所有下载文件，类似于Windows中的MarkoftheWeb。该缺陷允许特别制作的载荷滥用逻辑问题，设置限制性的访问控制列表（ACL）权限，阻止网络浏览器和互联网下载器为下载的ZIP文件存档的有效载荷设置com.apple.quarantine属性。结果是存档的恶意载荷中包含的恶意应用程序在目标系统上启动，而不是被Gatekeeper阻挡，使攻击者能够下载和部署恶意软件。微软周一表示，"苹果在macOSVentura中引入的锁定模式，是针对可能被复杂网络攻击盯上的高风险用户的可选保护功能，旨在阻止零点击远程代码执行漏洞，因此不能防御Achilles"。微软安全威胁情报团队补充说："无论他们的锁定模式状态如何，终端用户都应该应用苹果发布的已修复版本"。这只是过去几年发现的多个Gatekeeper旁路之一，其中许多被攻击者在外部滥用，以规避macOS安全机制，如Gatekeeper、文件隔离和系统完整性保护（SIP）在完全打过补丁的Mac上。例如，BarOr在2021年报告了一个被称为Shrootless的安全漏洞，可以让威胁者绕过系统完整性保护（SIP），在被攻击的Mac上进行任意操作，将权限提升到root，甚至在脆弱的设备上安装rootkit。该研究人员还发现了powerdir，这是一个允许攻击者绕过透明、同意和控制（TCC）技术来访问用户受保护数据的漏洞。他还发布了一个macOS漏洞（CVE-2022-26706）的利用代码，可以帮助攻击者绕过沙盒限制，在系统上运行代码。最后但并非最不重要的是，苹果在2021年4月修复了一个零日macOS漏洞，使臭名昭著的Shlayer恶意软件背后的威胁者能够规避苹果的文件隔离、Gatekeeper和证书安全检查，并在受感染的Mac上下载更多的恶意软件。Shlayer的创造者还设法让他们的有效载荷通过苹果的自动证书程序，并使用多年的技术来提升权限和禁用macOS的Gatekeeper，以运行未签署的载荷。了解更多：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-42821...PC版：https://www.cnbeta.com.tw/articles/soft/1335733.htm手机版：https://m.cnbeta.com.tw/view/1335733.htm

新版macOS悄然启用XProtect Remediator：增强恶意软件防护

新版macOS悄然启用XProtectRemediator：增强恶意软件防护在Mac开机或者打开某款应用时进行恶意软件扫描之外，苹果悄然新增了一项新功能：在Mac处于闲置状态进行恶意软件软件扫描。HowardOakley在其TheEclecticLightCompany博文中写道，苹果于2021年3月引入了名为XProtectRemediator的功能，在最新发布的macOSMonterey中开始启用。XProtectRemediator是对现有XProtect系统工具的补充。Oakley表示XProtect系统工具主要用于应用生产，是否存在已知恶意软件黑名单中的代码。XProtectRemediator由可执行代码模块组成，这些模块既可以扫描又可以修复检测到的恶意软件。Oakley表示，它似乎可以替代苹果之前的恶意软件删除工具(MRT)。虽然在Apple的支持网站上搜索“恶意软件”确实会显示对MRT的引用，但这些引用已从实际支持文档中删除。支持文档中也未提及此XProtectRemediator，并且XProtect被描述为用于在检测到恶意软件后删除。但是，Apple现在确实表示XProtect还有助于识别恶意软件。PC版：https://www.cnbeta.com/articles/soft/1311103.htm手机版：https://m.cnbeta.com/view/1311103.htm

慎用 macOS 破解版应用：黑客用于分发恶意软件，窃取你的隐私信息

慎用macOS破解版应用：黑客用于分发恶意软件，窃取你的隐私信息网络安全公司MacPaw旗下MoonlockLab表示近期有黑客通过macOS破解版CleanMyMac或Photoshop等主流应用，分发新型Mac恶意软件。该恶意软件就会使用AppleScript诱骗用户泄露密码，从Chrome和Safari等浏览器中窃取cookies，如果恶意软件检测到在虚拟机上运行就会自毁。脚本首先会从系统中获取当前用户名以及其他重要的系统路径，以供日后使用。然后，它会创建一个临时文件夹来存储被盗数据，然后再将其发送出去。该脚本会窃取浏览器中敏感的用户信息，如浏览历史、cookie和保存的密码。该脚本的另一个功能是能够查找和访问流行的加密货币钱包，可以窃取钱包文件，使攻击者有可能访问受害者的加密资产。关注频道@ZaiHuaPd频道爆料@ZaiHuabot

朝鲜黑客组织用恶意软件攻击苹果计算机操作系统

朝鲜黑客组织用恶意软件攻击苹果计算机操作系统美国信息技术安全公司SentinelOne在其网站上发布的一份报告中宣布，发现黑客组织“Blunorov”最近针对苹果计算机操作系统（macOS）进行了黑客攻击。Bluenorov是朝鲜黑客组织Lazarus的附属组织，已知主要针对虚拟货币专家进行攻击。据报道，Blunorov通过两个被称为"Rustbucket"和"CandyCorn"的黑客行动传播恶意软件。该公司表示，这些行动中使用的代码都是苹果电脑操作系统专用的恶意软件，旨在入侵网络安全公司和加密货币交易所。