本帖最后由 ZwE.W 于 2026-2-26 11:03 编辑
首先祝各位饭友新春快乐~
作为一名混迹卡饭多年的小透明，自然也是有论坛人均的杀软综合症的。
之前在Windows上，杀软综合症一直是被15块一年、一口气买了好多年的卡巴和6.18的咖啡压着，
但是在前不久，趁着国补刷新加上电商平台活动，入手了心心念念的MacBook。
其实早先就知道macOS安全性很高，上手用用也确实。相对Windows来说，macOS权限管理更加统一和严格，有点敏感操作都会弹窗让你输密码，更何况还有SIP保障系统分区只读。
我略微还有一点系统洁癖，能不装的东西都尽量不装，对系统影响比较大的也不打算装了，其中就包含安全软件。
由于偶尔也会有需要找快乐版软件的需求，而且在网上还看见有网友说在找快乐版软件的时候被跳转到了钓鱼页面的事情，这让我对macOS安全性这件事也有些犯嘀咕。
自己也找到了几个钓鱼页面，都是一样的套路，诱导用户打开终端执行他们的恶意Payload。
Payload下载下来，解密一看，标准的macOS Stealer脚本，用Apple Script编写的，会偷电脑上的钥匙串数据、虚拟货币文件、Chrome数据等等。
脚本里还会伪造系统对话框，来套取你的真实的电脑密码：
用户不输入真实的密码就会一直弹窗，非常的恶心
这种对于论坛里的各位我想肯定是一眼丁真，直接可以分辨出来，但是对于一般小白用户我想还真不好说。
更让我顾虑的是，万一这些恶意脚本隐藏在快乐版app/pkg文件里呢？我们应该怎么样防范？
macOS上的杀毒软件，由于系统限制，很多也只是有基础的实时扫描功能，相对Windows平台上各个重武器来说简直是“益智玩具”。而且安装了它们，也可能会导致性能影响/续航影响，比如之前看有老哥在论坛分享卡巴Mac版后台CPU一直不消停
对于“系统洁癖”的我来讲，可能不是一个好方案。
最后，自己查询资料、总结、问AI...摸索出了一套自己现在在用的防御体系，前来分享给大家。
这套防御的优点就在于轻量化，对于系统的影响尽量降到最低，同时减少侵入性。
核心：四位一体的行为防线
这套方案放弃了传统的“文件特征扫描”，转而死守 macOS 的四个关键行为：
- 网络行为（Little Snitch / LuLu）：防火墙软件，监控/控制每一个连接请求。我会把快乐版软件全部禁止联网，即使有漏网之鱼的恶意软件进来了，联网权限一断，尝试回传密码或下载后续载荷的操作也全会失败。Little Snitch的UI界面更美观，功能更多一些，但它是付费软件。如果要求不高，使用开源免费的LuLu也是可以的。
- 持久化行为（BlockBlock）：恶意软件通常会持久安装以确保在重启或登录时自动执行。BlockBlock 监控常见的持久化位置，并在添加新的持久化组件时发出警报。它还有一个我觉得很棒的“Paste Protection mode”，如果启用，当在终端中粘贴内容（超过 100 字节）时将阻止并警报以防范 ClickFix 攻击。
- 数据保护（RansomWhere?）：监控异常文件加密。RansomWhere?持续分析文件熵，以实时识别加密活动，检测可疑进程，并在勒索软件造成严重损害之前阻止它。
- 存量自检（KnockKnock）：怀疑系统有问题的时候，可以用KnockKnock扫描一遍，它可以把系统上当前已经持久化的软件全部显示出来，并且可以联动VT进行文件信誉检测。
前线：针对快乐版软件的安检流程
- VirusTotal：老朋友无语多言，快乐版软件安装运行前拉上去扫一遍，重点盯着卡巴和ESET的检出结果，目前一些恶意样本测试下来它们俩的检测率还是很可靠的。
- Intego VirusBarrier Scanner：Intego是一家专门做Mac安全软件的公司，选择它是担心VT上的引擎可能没有对macOS的文件类型做优化，所以找了一个专门做macOS安全的扫描器。这是单扫描器，无常驻后台，需要的时候和VT一样拉出来扫一扫就OK。不过我实际测试其静态扫描检出率一般般，比如上面例子中终端命令诱导用户下载的一个恶意zsh payload脚本，它就没有检出。
- Suspicious Package（可选）：这是一个解包工具，主要用于分析pkg格式的安装包（类似于Windows下的msi）。如果你不嫌麻烦的话，可以在安装pkg包前使用它解包看一下，重点搜 base64、eval、curl、osascript等关键词，人脑启发永远滴神。
这套方案常驻后台的工具加起来内存占用极低，不扫磁盘，不费电，不影响续航，而且对系统也没有侵入性。只有在发生“越权动作”时才会报警，平时就像不存在一样。
但说一千道一万，任何工具也都是辅助，安全还是要靠我们自己的一双慧眼，明辨虚实。
最后，再次祝各位饭友电脑不中毒，新年发大财！也欢迎大家前来分享讨论你们的独特安全防线！
LuLu / BlockBlock / RansomWhere? / KnockKnock:
https://objective-see.org/tools.html
这四个软件同属于Objective-See发布的免费开源工具。Objective-See是一个专注 macOS 安全研究与防御工具的独立安全组织，由前 NSA 安全研究员Patrick Wardle创建。除了本文提到了这四个工具，它们还有更多的安全工具，都在官网上，各位感兴趣可以前去尝试体验。
Little Snitch:
https://www.obdev.at/products/littlesnitch/index.html
Intego VirusBarrier Scanner:
可于Mac App Store下载
https://apps.apple.com/cn/app/intego-virusbarrier-scanner/id1200445649?mt=12
Suspicious Package:
https://www.mothersruin.com/software/SuspiciousPackage/get.html
| 
发表于 2026-2-26 10:58:38
楼主
这么多安软，真的不怕增加攻击面，提高遇到供应链攻击的可能吗？
