6支假冒Flash软件的Mac恶意程式骗过苹果公证机制上架

安全公司Intego近日在App Store发现6支假冒Flash安装器（installer）软件的Mac恶意程式，躲过了苹果的公证机制而成功上架。不过苹果很快就封锁了这些程式的开发商。

从macOS 10.15版(Catalina) 起，苹果要求所有Mac App开发商将其应用程序发布前，需送交公证（notarization）检查程式码是否有恶意元件。未经公证的Mac App在开启时，会遭到macOS上GateKeeper软件的阻挡。但是Intego研究人员发现，已经有恶意程式可以成功躲过这个检查机制。

Intego发现了6个伪装Flash Player安装软件的macOS版MacOffers（或称MaxOfferDeal）木马程式，但是从10月6日到13日，6只磁盘映像档（.dmg）及第1阶段的木马样本，在VirusTotal病毒检测平台上完全没有防毒产品侦测到。到10月12日，VirusTotal 上60个防毒引擎中只有4个侦测到1只第2阶段的恶意程式样本。

研究人员指出，MacOffer之所以能躲过苹果的公证，可能是因为它使用图像隐码术（steganography）的技俩，将恶意程式藏在一个分开的JPEG图形档中（如下图所示）。这个JPEG看似无害，但内含恶意App的.zip档，一旦安装在macOS用户电脑即释出木马程式。这类手法之前见于2019年的VeryMal Shlayer及2011年的假防毒软件MacDefender。

图片来源_Intego

苹果已在10月12日吊销了这只恶意程式的开发商凭证，阻断这些程式为害。

这并不是Intego第一次发现到苹果公证了恶意程式上架。8月底该公司发现，高达40只广告程式Shlayer及Bundlore家族的恶意程式变种登上App Store。9月间安全研究人员Patrick Wardle也发现Shlayer伪装的Flash Installer。

研究人员说，看到有任何网站要求使用者下载Adobe Flash Player千万要留意，因为不仅微软Windows和主要浏览器已不支援Flash Player，Adobe也早已宣布2020年底终止支援。但由于不是所有使用者都知道这事，恶意程式还是经常能冒充Flash软件得逞。

根据Google网站，Chrome虽预设关闭Flash，但仍会在背景安装并更新Flash Player。因此安全公司提醒，如果用户仍需使用Flash内容，还是可以用Chrome存取网站，但切记再自己下载以免受害。