Mac 電腦新漏洞，無需密碼就能竊取用戶信息

你的 Mac 電腦真的沒有那麽安全。

Mac 電腦不安全已經不是新鮮事了，只不過，最近發現的漏洞更加嚴重了。

最近，來自黎巴嫩貝魯特地區的兩位開發者 Antoine Vincent Jebara 和 Raja Rahbani 在 Mac 電腦的密碼管理系統（即鑰匙串）上發現了一個新漏洞。無需用戶輸入密碼，駭客可以利用這個漏洞輕易地獲取你的密碼、證書等信息。

這兩位開發者是一家做認證管理系統 Myki 的公司的聯合創始人。在研發他們的產品時，他們偶然發現了這個漏洞，入侵用戶系統的時候也許就會彈出一個類似下面這樣的對話框：

鑰匙串的使用

這個漏洞的利用方式是這樣的：駭客只需將編寫好的終端命令，綁在正常的文件上，例如圖片、電子表格等。Mac 用戶把這個文件下載到本地後，惡意軟件會讓鑰匙串去提示用戶點擊“允許”按鈕，一旦用戶點擊，在文件打開的同時，鑰匙串裏的數據就會被傳送出去。

這兩位開發者在發現了這個漏洞後，對這個漏洞進行了實地檢驗。在他們的測試中，他們把惡意代碼跟圖片綁定，隨著“允許”按鈕的點擊，圖片就在預覽中打開，而密碼信息很快就以短信的方式傳送到手機上了。

由於代碼本身是合法的，而且綁定的文件也是無害的，因而根據這個漏洞做出的惡意軟件很難被安全軟件檢測出來。

在回覆科技博客 Engadget 的郵件中，開發者之一的 Jebara 稱，他們已經通知了蘋果官方，並且決定把這個事情說出來，讓用戶警惕鑰匙串給出的“允許”按鈕的提醒。

事實上，針對鑰匙串開發惡意代碼從 2011 年開始就有了，叫做 DevilRobber，曾被用來操控 Mac 電腦來挖比特幣。目前，只有當你的 Mac 電腦已經安裝了某個軟體，這種針對鑰匙串的攻擊方式被這個軟體喚醒，才會有效。

過去 Mac 曾被認為是相對安全的計算設備，而在 2014 年的“麥芽地 Mac/iOS 病毒”事件後，Mac 電腦的安全問題也被提了出來。也許是由於整個 PC 市場下滑的情況下，Mac 的銷量逆勢而上，駭客也開始關注 OS X 系統了。

日前還有安全專家制造了針對 Mac 固件安全漏洞的病毒，只需讓外接設備通過 Thunderbolt 接口接入 Mac 電腦，幾秒鐘時間電腦就會被控制。而且由於固件病毒的特殊性，殺毒軟體難以檢測，普通用戶也難以自己清除。

資料來源：SOURCE