LightSpy 间谍软件工具 macOS 版曝光，可用于窃取各类隐私数据
内容提要
研究人员发现了LightSpy监控框架的macOS版本，该框架可以窃取各种数据并获取root访问权限。该工具使用了10个插件，包括声音记录、浏览器数据提取、摄像头拍照等。目前还没有证据证实存在针对Linux和路由器的植入程序。
延伸解读
攻击链与权限提升
LightSpy的macOS植入程序通过伪装成PNG的MachO二进制文件投递，利用WebKit漏洞在Safari中执行代码，针对macOS 10.13.3及更早版本。随后下载权限提升漏洞、加密工具和ZIP包，最终获得root访问权限，并通过配置启动项建立持久性。这一链条显示攻击者结合了漏洞利用与社会工程，但依赖旧版系统，及时更新可降低风险。
模块化插件与数据窃取范围
macOS版LightSpy使用10个插件，涵盖声音记录、浏览器数据提取、摄像头拍照、文件管理、钥匙串访问、局域网设备识别、软件列表、屏幕录像、Shell命令执行和Wi-Fi数据收集。这些插件使其能全面窃取敏感信息，模块化设计也赋予操作灵活性。用户应警惕异常进程和网络活动，尤其是涉及麦克风、摄像头和钥匙串的访问。
当前局限与未解之谜
尽管ThreatFabric确认存在Windows、Linux和路由器植入程序，但尚无证据表明它们被实际用于攻击，也不清楚其交付方式。macOS植入程序自2024年1月起在野外活动，但似乎仅限于测试环境，受感染机器数量有限。这表明LightSpy的跨平台能力仍在早期阶段，但潜在威胁不容忽视，需持续关注后续发展。
Q&A
LightSpy间谍软件的主要功能是什么？
LightSpy能够窃取文件、屏幕截图、位置信息以及录音等多种数据。
LightSpy如何获得macOS设备的root访问权限？
LightSpy通过伪装成PNG文件的MachO二进制文件传播，并利用WebKit漏洞获取root权限。
LightSpy的macOS版本使用了哪些插件？
macOS版本使用了10个插件，包括声音记录、浏览器数据提取和摄像头拍照等。
LightSpy的macOS植入程序何时开始活动？
LightSpy的macOS植入程序至少从2024年1月起开始在野外活动。
LightSpy是如何在macOS上执行代码的？
攻击者利用WebKit漏洞在Safari中执行代码，目标是macOS 10.13.3及更早版本。
目前是否有证据表明LightSpy针对Linux和路由器？
目前没有证据证实存在针对Linux和路由器的LightSpy植入程序。
