PSA：在盗版 Final Cut Pro 中发现了聪明的 macOS 加密劫持恶意软件

Jamf Threat Labs 周四发布了一份关于 macOS 上安装和运行加密挖掘软件的新恶意软件威胁的报告。该恶意软件附加到从互联网上未经授权的分发点下载的 Final Cut Pro 盗版副本。

Final Cut Pro 的盗版版本附带一个名为 XMRig 的加密挖掘工具。下载并安装软件后，XMRig 会在后台启动。Jamf 报告说，截至 1 月，只有“少数”恶意软件保护应用程序能够检测到隐藏的 XMRig 安装。

XMRig 本身经常被加密矿工合法使用，但由于它是一个开源实用程序，它经常会像这个一样被非法使用。XMRig 在后台运行时，Mac 将处理资源用于挖掘任务，这会影响性能。

Jamf 表示，此恶意软件安装使用 i2p 将挖掘的加密货币发送到攻击者的钱包，并将恶意软件组件下载到 Mac。i2p 网络协议专为隐私而设计；它经过加密并使用仅供用户、服务器和任何其他授权访问权限使用的隧道。与 XMRig 一样，i2p 具有合法用途，但当被恶意软件使用时，它会增加跟踪网络活动的难度。

Jamf 的研究发现，该恶意软件的来源于 2019 年开始上传盗版的 Final Cut Pro，并且该恶意软件足够聪明，可以避免被 macOS 的 Activity Monitor 应用程序检测到。如果启动了 Activity Monitor，XMRig 将停止运行并在用户退出 Activity Monitor 时重新启动。

下载盗版应用程序通常涉及使用 torrent 客户端，并且由于这些客户端不应用任何隔离属性，因此下载会绕过 macOS Monterey 的验证检查。然而，在 macOS Ventura 中，Final Cut Pro 的盗版无法通过验证，无法启动，但非法安装 XMRig 的情况仍然存在，后台挖矿仍在继续。

这种恶意软件攻击正是 Apple 希望您在 App Store 购物的原因，Apple 会在 App Store 审查每个应用程序以确保它们不包含恶意软件。最终，更多的第三方安全应用程序将捕捉到此攻击并提供保护（Jamf 指出此攻击已被其 Protect Threat Prevention 服务阻止）。避免这种攻击的最简单方法就是不使用盗版软件。Final Cut Pro 的正式版售价 300 美元，但有 90 天的免费试用期。