最近，來自黎巴嫩貝魯特地區(qū)的兩位開發(fā)者 Antoine Vincent Jebara和Raja Rahbani在Mac電腦的密碼管理系統(tǒng)（即鑰匙串）上發(fā)現(xiàn)了一個新漏洞，無需用戶輸入密碼，黑客可以利用這個漏洞輕易地獲取你的密碼、證書等信息。

在研發(fā)他們的產(chǎn)品時，他們偶然發(fā)現(xiàn)了這個漏洞，入侵用戶系統(tǒng)的時候會彈出一個這樣的對話框，如圖所示：

鑰匙串的使用

黑客只需將編寫好的終端命令，綁在正常的文件上，例如圖片、電子表格等。

Mac用戶把這個文件下載到本地后，惡意軟件會讓鑰匙串去提示用戶點擊“允許”按鈕，一旦用戶點擊，在文件打開的同時，鑰匙串里的數(shù)據(jù)就會被傳送出去。

漏洞測試：

這兩位開發(fā)者在發(fā)現(xiàn)了這個漏洞后，對這個漏洞進行了實地檢驗。

在他們的測試中，他們把惡意代碼跟圖片綁定，隨著“允許”按鈕的點擊，圖片就在預覽中打開，而密碼信息很快就以短信的方式傳送到手機上了。由于代碼本身是合法的，而且綁定的文件也是無害的，因而根據(jù)這個漏洞做出的惡意軟件很難被安全軟件檢測出來。

目前，只有當你的Mac電腦已經(jīng)安裝了某個軟件，這種針對鑰匙串的攻擊方式被這個軟件喚醒，才會有效。

過去Mac曾被認為是相對安全的計算設備，而在2014年的“麥芽地Mac/iOS病毒”事件后，Mac電腦的安全問題也被提了出來。也許是由于整個PC市場下滑的情況下，Mac的銷量逆勢而上，黑客也開始關(guān)注OS X系統(tǒng)了。

備注：日前還有安全專家制造了針對Mac固件安全漏洞的病毒，只需讓外接設備通過Thunderbolt接口接入Mac電腦，幾秒鐘時間電腦就會被控制。而且由于固件病毒的特殊性，殺毒軟件難以檢測，普通用戶也難以自己清除。

觀看視頻：