安全360年度趋势报告-Mac

引言

Jamf 的 Security 360 报告基于真实客户事件、威胁研究和行业事件分析，重点关注 macOS 威胁环境，揭示组织面临的风险。报告分析了攻击者使用的多样化攻击向量，以及 macOS 设备日益普及导致其成为攻击热点的原因。报告还包括 Jamf CISO 的观点，为安全领导者和 IT 实践者提供保护 macOS 阵容的见解。

研究方法

报告匿名分析了超过 15 万台 macOS 设备，数据涵盖 2024 年底至 2025 年底。恶意软件调查仅针对美国设备，而漏洞分析则包含全球数据。所有元数据分析均来自聚合日志，不包含个人或组织识别信息。

关键发现

• 恶意网络流量：超过 50% 的设备存在恶意网络流量。
• 操作系统过时：超过 50% 的设备操作系统严重过时。
• 应用程序漏洞：超过 50% 的设备存在漏洞应用程序。
• 勒索软件：超过 50% 的恶意软件为木马，较 2024 年增长 33 个百分点。
• 加密挖矿：至少 10% 的组织受到加密挖矿攻击的影响。
• 恶意软件类型：前四种恶意软件类型（木马、信息窃取器、广告软件和勒索软件）占所有攻击的 90% 以上。

企业关键趋势

• Mac 设备普及：Mac 设备不再是小众目标，所有规模和行业的组织都在使用，市场份额从 2024 年的 9.3% 增长到 2025 年的近 10%。
• 信息窃取器演变：信息窃取器不断发展，窃取的数据比以往任何时候都多，通常作为更大攻击的第一阶段。
• APT 组织持续关注 macOS：类似 DPRK 相关的威胁持续针对 macOS，例如 Contagious Interview、FlexibleFerret 和 Odyssey 信息窃取器。

Mac 恶意软件和威胁

Mac 恶意软件与 Windows 恶意软件不同，攻击者需要绕过 Gatekeeper、TCC、SIP 等安全功能。尽管存在挑战，但攻击者仍成功利用这些漏洞。报告显示，超过 26 个 YARA 规则和超过 230 个恶意软件样本被 Jamf Threat Labs 添加到数据库中。最常见的检测行为包括使用 curl 下载潜在信息窃取器有效载荷、通过 AppleScript 执行通用 macOS 信息窃取器活动和在 Xcode 构建过程中执行可疑 curl 命令。

最常见的 Mac 恶意软件

• 木马：2025 年占比 50.3%，其中 atomic_stealer 参与了 77.08% 的攻击。
• 信息窃取器：占比 33.52%，通常使用木马后门建立持久性。
• 广告软件：占比 7.19%。
• 勒索软件：占比 6.5%。

应用和操作系统漏洞

操作系统是设备的基础，攻击者不断寻找其弱点。报告显示，至少 50% 的组织存在至少一台设备操作系统严重过时，至少 50% 的设备存在漏洞应用程序。CVE（常见漏洞和暴露）程序是一个由网络安全社区发现的漏洞数据库，每个 CVE 列表都标识受影响的软件或库，列出严重评分并提供潜在的利用方法。

管理漏洞

管理漏洞是一场持续的战斗，但并非无法取胜。组织需要持续识别、缓解和监控影响其系统和设备的漏洞。具体工具包括移动设备管理、端点保护、身份管理和遥测工具。Jamf CISO 建议安全团队了解其漏洞，实施牢固的补丁计划，并基于风险实施设备访问策略。

Jamf 威胁实验室最新研究

报告最后列举了 Jamf 威胁实验室的最新研究成果，包括 OpenClaw、MacSync Stealer、FlexibleFerret、Contagious Interview、DigitStealer、PyInstaller 和 ChillyHell 等恶意软件的分析。