近期研究顯示，越來(lái)越多的macOS惡意軟件成功通過(guò)了蘋果的公證（notarization）流程，從而繞過(guò)系統(tǒng)安全機(jī)制Gatekeeper。2025年12月，Jamf威脅實(shí)驗(yàn)室披露了一種新型MacSync Stealer竊密木馬變種，該惡意程序不僅使用有效的開(kāi)發(fā)者ID簽名，還獲得了蘋果官方公證，使用戶在運(yùn)行時(shí)不會(huì)觸發(fā)任何警告。

此類攻擊利用了蘋果當(dāng)前安全模型的局限性：公證過(guò)程僅對(duì)提交時(shí)的代碼進(jìn)行靜態(tài)分析，無(wú)法檢測(cè)應(yīng)用在運(yùn)行后從遠(yuǎn)程服務(wù)器下載的后續(xù)惡意載荷。攻擊者借此提交看似無(wú)害的初始程序，待其安裝并連接網(wǎng)絡(luò)后再激活真正的惡意功能。這種方式使得惡意軟件在技術(shù)上符合蘋果的安全要求，卻仍可在用戶設(shè)備上執(zhí)行非法操作。

據(jù)調(diào)查，攻擊者獲取合法開(kāi)發(fā)者證書(shū)的途徑包括盜用或通過(guò)地下渠道購(gòu)買，進(jìn)一步降低系統(tǒng)的可疑度。盡管首例蘋果公證惡意軟件早在2020年即被發(fā)現(xiàn)，2025年7月也曾出現(xiàn)類似案例，但此類事件尚未達(dá)到大規(guī)模爆發(fā)程度。然而，安全專家指出，即使僅有一例成功繞過(guò)防護(hù)，也表明現(xiàn)有機(jī)制存在可被利用的漏洞。

蘋果的設(shè)計(jì)初衷是通過(guò)代碼簽名和公證實(shí)現(xiàn)責(zé)任追溯與快速撤銷，而非確保軟件永久可信。因此，該體系在設(shè)計(jì)上依賴事后響應(yīng)而非絕對(duì)預(yù)防。隨著此類攻擊持續(xù)演化，專家建議用戶優(yōu)先從Mac App Store或可信賴開(kāi)發(fā)者官網(wǎng)下載軟件，以降低感染風(fēng)險(xiǎn)。

本文信息來(lái)源于9to5Mac于2025年12月28日發(fā)布的Security Bite欄目，作者為Arin Waichulis。

參考鏈接:
https://9to5mac.com/2025/12/28/security-bite-a-note-on-the-growing-problem-of-apple-notarized-malware-on-macos/