吳明宜研究人員發現首隻瞄準M1晶片的惡意程式－GoSearch22.app
蘋果去年10月公佈Apple Silicon系列的M1晶片以及三款搭載M1的Mac電腦令人驚豔，不過才不到半年，第一隻M1晶片的惡意程式已經問世。
美國國安局(NSA)前僱員，現為獨立安全研究人員Patrick Wardle，首先發現名為GoSearch22.app的惡意程式。它是流傳已久的廣告程式Pirrit轉戰M1而成的結果。
惡意廣告不放過M1晶片
Wardle一開始在VirusTotal掃瞄引擎上尋找M1的原生惡意程式。當他以「包含64-bit ARM程式碼的蘋果多架構執行檔，且至少被2個防毒引擎標示出來」為條件進行搜尋，結果大部份是支援ARM架構的iOS惡意程式。不過最後竟然出現了一隻名為GoSearch22的Safari瀏覽器外掛程式。這款App套件的Info.plist檔證實它是一隻macOS（而非iOS）平台的M1惡意程式。然而實際上它卻是廣告程式Pirrit。Pirrit最早在2016年被安全人員發現，起初感染Windows，之後又轉到macOS。
M1版Perrit曾觸發24款不同防毒軟體發出警告，但其中17款評定為「一般」(generic)，剩下7家則偵測出它和廣告軟體Pirrit屬於同一家族。
Pirrit為廣告程式，它的變種則會偽裝成假的影片播放軟體、PDF閱讀器或（像本次看到的）Safari外掛，誘使用戶下載。當使用者安裝後，無論搜尋到哪個網站，連去的網頁都會被塞滿討人厭的廣告，瀏覽器使用紀錄也會被追蹤。此外，它還會有許多進階能力，包括不存在應用目錄、取得Mac電腦根權限、混淆程式碼以躲避偵測、防止分析，並搜尋並移除試圖干擾它的應用程式或外掛，以便儘可能隱藏在Mac電腦中。
這款App去年11月由Apple開發人員ID hongsheng_yan簽章。不過該憑證已經被蘋果吊銷，因此不確定是否經蘋果公證。不過也因為憑證被吊銷，因此GoSearch22現在也無法在macOS上執行，除非獲得另一個開發人員的簽章。但是，在遭到取消憑證前這款App已成功感染了macOS用戶。
Wardle指出，這支惡意程式的出現有兩方面的意思。一來，這顯示了惡意程式的開發，直接連動蘋果的軟、硬體發展。既然散佈原生ARM64二進位檔有這麼多好處，惡意程式作者何樂不為？第二則顯示現行狀態分析或防毒引擎還無力偵測到這新的惡意程式，這比較令人擔憂。