事件回顧：Flashback 木馬大規模感染 Mac

2012 年 4 月，安全研究人員發現 Flashback (Flashfake) 木馬 透過 **Java 漏洞 (CVE-2012-0507)** 無需使用者互動即可「駕馭式下載」感染 Mac。全球約 **60 萬台 Mac** 中招 (佔當時 Mac 安裝基數 ~1%)，組成龐大僵屍網路，竊取瀏覽器表單資料、截圖、上傳系統資訊。蘋果官方修補工具延遲發布，第三方安全廠商搶先推出解決方案。

卡巴斯基雙管齊下：線上檢測 + 離線移除工具

1. 線上 UUID 檢測工具

• 網址：https://www.kaspersky.com/flashbackcheck (已下線，歷史參考)。
• 操作：輸入 Mac 的 **UUID (通用唯一識別碼)** → 即時查詢雲端資料庫判斷是否在感染名單中。
• 取得 UUID：選單列 → 「關於這台 Mac」→ 「系統報告...」→ 「硬體」→ 「硬體 UUID」。

2. Flashfake Removal Tool (獨立移除程式)

• 下載：卡巴斯基官網支援頁面 (現已歸檔)。
• 功能：掃描已知 Flashback 變種、惡意載入項 (LaunchAgents/Daemons)、受感染瀏覽器外掛、系統檔案修改 → 隔離/刪除/修復。
• 支援：Mac OS X 10.6 (Snow Leopard) 至 10.8 (Mountain Lion) 等受影響版本。

其他廠商同步回應

• F-Secure Flashback Removal Tool：自動掃描、生成 Log、偵測到即壓縮隔離、支援 10.5 Leopard (蘋果未提供 Java 更新)。
• 蘋果官方：後續發布 Java for OS X 2012-003/004/005/006 更新修補漏洞、移除 Flashback 變種、停用 Java Applet 外掛預設關閉。
• 其他：Intego, Sophos, ClamXav, Dr.Web 等皆推出專殺工具。

用戶自救完整步驟 (歷史參考，現代 Mac 已不適用)

1. 斷網**：防止資料外洩、二次下載惡意模組。
2. 備份重要資料** (Time Machine/手動複製至加密外接碟)。
3. 執行官方/信廠商專殺工具** (卡巴斯基/F-Secure/蘋果官方更新)。
4. 手動檢查 (進階)：
   • 檢查 ~/Library/LaunchAgents/, /Library/LaunchAgents/, /Library/LaunchDaemons/ 是否有可疑 .plist 指向不明執行檔 (如 .sb, .tmp, 隨機檔名)。
   • 檢查 /etc/hosts 是否被竄改導向惡意伺服器。
   • 檢查 Safari/Chrome/Firefox 外掛/延伸功能，移除不明項目。
   • 終端機執行 defaults read /Applications/Safari.app/Contents/Info LSEnvironment 等檢查環境變數注入 (Flashback 特徵)。
5. 修改所有帳密** (銀行、郵件、Apple ID、社群、密碼管理器)。
6. 更新系統、Java、瀏覽器、所有軟體到最新版**。
7. 啟用 macOS 內建防護**：Gatekeeper (僅允許 App Store/已識別開發者)、XProtect (內建反惡意軟體)、MRT (惡意軟體移除工具)、Notarization、SIP (系統完整性保護)。

給現代 Mac 用戶的啟示 (2024+)

• Mac 不是免疫體：市佔率上升、跨平台架構、供應鏈攻擊、零日漏洞 (如 FORCEDENTRY、POWERDIR)、勒索軟體 (KeRanger, EvilQuest, LockBit Mac)、情報竊取器 (Atomic, MacStealer) 均活躍攻擊 macOS。
• 內建防護已強大但非萬能：XProtect/MRT/Gatekeeper/Notarization/SIP 形成多層防線，但面對 0-day、社交工程、用戶授權安裝偽裝軟體仍有盲區。
• 建議部署專業端點防護**：Microsoft Defender for Endpoint on Mac, Jamf Protect, CrowdStrike Falcon, SentinelOne, Bitdefender GravityZone, Kaspersky Endpoint Security for Mac, ESET Cyber Security Pro — 提供 EDR、行為偵測、威脅狩獵、合規報表。
• 良好衛生習慣**：僅從 Mac App Store/官網下載、驗證開發者簽名/公證、不關閉 Gatekeeper、定期更新、3-2-1 備份、MFA 保護 Apple ID、使用密碼管理器、警惕釣魚/社交工程。

結語

Flashback 事件打破「Mac 不中毒」迷思，推動蘋果強化內建防護與回應速度。卡巴斯基等廠商的快速響應展現安全社群協作價值。今日 Mac 面臨更複雜威脅，**「不裝殺毒」已非最佳策略**，部署輕量級 EDR、落實基礎衛生、保持警覺，才是守護數位資產的正道。