Machbox 使用指北

原创

zznQ
zznQ

凹陷外壳

2026年6月16日 19:54
日本

在小说阅读器读本章

去阅读

Machbox 是一款面向 macOS 的恶意软件分析沙箱工具，基于 Apple 原生框架构建（Virtualization.framework、EndpointSecurity.framework、DTrace 等）。

系统要求：

• Apple Silicon Mac
• macOS 13+

简化架构图：

下载最新版：https://github.com/ac0d3r/machbox/releases；

下载之后移除 com.apple.quarantine标识：

xattr -c /PATH/machbox

首先要使用 VirtualBuddy 创建新虚拟机，需要关闭虚拟机的 SIP。（可选：取消勾选 \"Enable VirtualBuddy Guest App\"）

安装Guest Agent

machbox setup -m /PATH/Machbox.vbvm

会启动虚拟机实例，并打开一个用于交互的 GUI 窗口：

打开 Finder，从侧边栏选择 MachboxGuest并安装 machbox-guest.pkg

等安装完成后关闭虚拟机（不要直接关闭窗口！）

分析样本

machbox analyze -m /PATH/Machbox.vbvm --network-mode NAT sample.bin

测试样本为：https://www.jamf.com/blog/chillyhell-a-modular-macos-backdoor

分析完成后使用 Web UI 查看可视化报告：

machbox report-view

• 持久化行为：/usr/local/bin/qtop
• 提升权限：Setuid / Setgid / Setreuid / Setregid
• 修改文件扩展属性：Setextattr
• 多个Exec事件，执行命令（包含参数：

项目后续

本项目目前尚未开源，计划更完善后发布。

由于个人时间有限，更新会比较慢，但欢迎通过 Issue 或邮件交流想法。

（应该不会烂尾