这是恶意 Mac 软件，请勿运行，速查是否中招！

AppOS

实用技巧：始于 Mac，却远不止于 Mac。点击上方蓝字关注，跟随 AppOS一起探索更广阔的数字生活。

我的 Mac 电脑最近被木马攻击了。

而且最开始，我完全没有意识到它是一款木马。

电脑可以正常使用，浏览器能打开，软件能运行，Finder 也没有任何明显异常。直到我进一步排查后台进程，才发现一个非常不对劲的东西：PamStealer。

更准确地说，是一个伪装成 Finder、隐藏在 Library/Application Support 目录里的恶意程序。

我电脑上发现的其中一个恶意文件路径是：

/Users/用户名/Library/Application Support/com.apple.finder.monitor/Finder.app

乍一看是不是特别正常？Finder.app。甚至连名字和图标都可以做得和 macOS 自带 Finder 一模一样。

但是真正的 Finder，根本不应该从这个位置运行。一般用户根本发现不了这个问题。

我又用 Codex 对电脑里的进程、文件路径和网络连接做了一轮排查，结果进一步确认了我的猜想，就是 PamStealer 伪装出来的恶意程序。

继续检查之后，基本可以确认：这是最近 Jamf Threat Labs 披露的 PamStealer macOS 信息窃取木马。

而且在我发现它的时候，这个假的 Finder 仍然处于运行状态，并且还存在网络连接。

主要特征

这类软件的大小通常特别小，并不像一个正常 Mac 应用程序正常的大小。

而且通常伪装成剪贴板、行情、效率工具等应用，通过 DMG 磁盘映像提供一个 .scpt 脚本，并诱导用户在“脚本编辑器”里按下 ⌘R 或点击“运行”。

一旦执行，脚本会下载第二阶段程序，把它伪装成 Finder 或“软件更新”并隐藏运行。

他并非只是一个软件，而是伪装成很多 Mac 应用。安全厂商将其中一个家族命名为 PamStealer。它可能窃取浏览器密码和登录 Cookie、钥匙串内容、剪贴板以及钱包扩展数据，还会通过登录项实现开机自启。

哪些现象值得警惕

如果你遇到过以下任一情况，应立即检查：

DMG 中没有正常的 .app，只有 .scpt 脚本。安装说明要求在“脚本编辑器”中按 ⌘R。软件声称“自动下载依赖”或“自动运行安装程序”。运行后没有正常应用窗口，也没有 Dock 图标。系统中出现第二个 Finder 进程。突然弹出“Finder 需要完整磁盘访问权限”或索要登录密码。“登录项与扩展”中出现来源不明的 Finder 或 Software Update。活动监视器中出现名称为八位十六进制字符的进程，例如 ADA0D909、F8C06C86、77617EA0。

真正的 Finder 位于：

/System/Library/CoreServices/Finder.app

任何从用户的 Library/Application Support 或 /private/tmp 运行的 Finder，都是高度可疑的。

若发现可疑，应立即隔离

发现可疑迹象后，先不要急着输入密码或删除所有文件（或者直接使用 Codex 这类工具进行彻底检查并清理）：

关闭 Wi-Fi，并拔掉网线。不要再打开原始 DMG 或 .scpt 文件。不要接受“完整磁盘访问权限”提示。不要向任何突然出现的 Finder、软件更新或系统设置窗口输入密码。公司设备应先联系 IT 或安全团队，以免删除调查证据。检查是否存在恶意进程

打开“活动监视器”，选择“显示 → 所有进程”，搜索：

FinderSoftwareUpdateDADA0D909其他由八位数字和字母组成的异常进程

双击可疑进程，检查其“打开的文件和端口”或可执行文件路径。

正常 Finder 应来自：

/System/Library/CoreServices/Finder.app

已知恶意路径包括：

~/Library/Application Support/com.apple.finder.core/Finder.app~/Library/Application Support/com.apple.finder.monitor/Finder.app~/Library/Application Support/com.apple.security.daemon/Software Update.app~/Library/Application Support/com.apple.softwareupdated/SoftwareUpdateD~/Library/Application Support/Maccy/Maccy/private/tmp/System Settings

若路径明确指向上述用户目录，选择进程并点击活动监视器顶部的停止按钮，然后选择“强制退出”。

也可以使用下面的只读命令搜索可疑程序：

find "$HOME/Library/Application Support" -maxdepth 6 ( -path "*/Finder.app/Contents/MacOS/*" -o -path "*/Software Update.app/Contents/MacOS/*" -o -name "SoftwareUpdateD" ) -print 2>/dev/null

有结果不代表百分之百恶意，但 Finder 从 Application Support 运行并不正常。

移除自启动项

PamStealer 会同时使用新旧两种登录项机制，因此必须检查启动项。

进入：系统设置 → 通用 → 登录项与扩展

检查“登录时打开”和“允许在后台”两个区域，删除或关闭来源不明的：

FinderSoftware UpdateMaccy与可疑文件路径或 bundle ID 对应的项目右键选中，点击在访达中显示，即可查看路径。

可疑标识包括：

com.apple.finder.corecom.apple.finder.monitorcom.apple.security.daemoncom.apple.softwareupdatedcom.runtime.update

Apple 官方提供了删除登录项的方法。

然后进入：系统设置 → 隐私与安全性 → 完整磁盘访问权限

如果出现可疑的 Finder 或 Software Update，将其关闭。正常情况下，不应允许用户目录中的假 Finder 获得完整磁盘访问权限，如遇到不确定的可以直接问 AI。

隔离落地文件

建议先移动到废纸篓或单独的隔离文件夹，不要直接使用宽泛的 rm -rf 命令。

在 Finder 中选择“前往 → 前往文件夹”，逐一检查：

~/Library/Application Support/com.apple.finder.core~/Library/Application Support/com.apple.finder.monitor~/Library/Application Support/com.apple.security.daemon~/Library/Application Support/com.apple.softwareupdated~/Library/Caches/com.apple.finder.core~/Library/Caches/com.apple.finder.monitor~/Library/HTTPStorages/com.apple.finder.core~/Library/HTTPStorages/com.apple.finder.monitor/private/tmp

只移动已确认与恶意进程或登录项对应的目录。

在 /private/tmp 中，如果存在一个名为 System Settings 的普通可执行文件，也应隔离。真正的系统设置应用不在 /private/tmp。

同时移除：

最初下载的 DMG。DMG 内的 .scpt 文件。以 .Maccy、.PulseNotch、.lock、.config 命名的相关隐藏文件。与恶意 bundle ID 对应的网络缓存。

完成上述操作后重启 Mac，再检查：

活动监视器中是否仍有假 Finder。登录项中是否重新出现 Finder。可疑目录是否被重新创建。是否再次弹出密码或完整磁盘访问请求。

可使用以下只读命令复查：

pgrep -fl 'ADA0D909|F8C06C86|77617EA0|SoftwareUpdateD'

以及：

find "$HOME/Library/Application Support" -maxdepth 2 ( -name "com.apple.finder.core" -o -name "com.apple.finder.monitor" -o -name "com.apple.security.daemon" -o -name "com.apple.softwareupdated" ) -print

确认没有重新运行或生成后，再清空废纸篓。

删除木马不等于账号安全

PamStealer 属于信息窃取程序。一旦第二阶段运行，就应假设以下数据可能已泄露：

macOS 登录密码，尤其是曾输入可疑弹窗时。浏览器保存的密码和登录 Cookie。Apple 账户、**和社交平台会话。密码管理器中已经解锁的数据。加密货币钱包、助记词及钱包扩展数据。剪贴板里的密码、验证码、API Key、地址和私密文本。SSH 密钥、开发者令牌和云服务凭证。

应当从另一台可信设备进行以下操作：

优先修改**和密码管理器主密码。修改 Apple 账户密码并检查陌生设备。注销所有重要网站的现有会话。修改网银、支付和社交账号密码。吊销 API Key、访问令牌和开发者凭证。重新生成可能泄露的 SSH 密钥。加密货币用户应把资产转移到在干净设备上创建的新钱包。

Apple 官方建议在怀疑账户被入侵时修改密码、检查账户资料，并移除不认识的设备。

出现以下情况时，仅删除已知文件可能不够，可能需要重装系统：

曾向木马输入 macOS 登录密码。曾为假 Finder 开启完整磁盘访问权限。电脑保存公司机密、开发者密钥或金融数据。使用过加密货币钱包或助记词。清除后文件或登录项再次出现。无法确认木马是否下载过其他载荷。

高风险情况下，最可靠的处理方式是备份必要的个人文档，抹掉磁盘并从 macOS 恢复模式重新安装系统。不要直接恢复包含应用程序、系统设置和整个用户资料的完整旧备份；否则可能把恶意组件一并恢复。

如何避免再次中招

记住几条简单规则：

正常 Mac 应用不需要在脚本编辑器里按 ⌘R 安装。不要运行网页要求粘贴的终端命令或 AppleScript。软件应从 App Store、开发者官网或可信包管理器下载。警惕与系统组件同名、但位于用户目录中的程序。及时更新 macOS和浏览器。重要账户使用不同密码并开启多因素认证。突然出现的密码或完整磁盘访问请求，先核对发起程序的真实路径。

这类攻击主要利用社会工程，而不是高深的系统漏洞。只要养成“先检查来源和路径，再授权或运行”的习惯，就能阻断绝大多数同类木马。

Mac 用户真的该提高警惕了

X 上已经陆续有开发者和安全研究人员曝光类似攻击，冒充知名开发者发布所谓的 Mac 清理工具，有人直接购买广告大规模投放，再诱导用户复制“安装命令”到终端执行。

有条件的建议用 Codex 自动化排查一下！

点击**名片 关注 AppOS

更多精彩内容我们下期见~