MacOS Users目录下发现恶意文件夹 咨询是否为雇主部署的间谍软件

• 正常场景下.gcda是Xcode开启GCOV代码覆盖率统计功能后生成的编译产物，仅用于开发阶段统计代码执行覆盖度，本身不具备主动上传、监控设备的能力。你提到的文件路径~/Library/Developer/Xcode/DerivedData/libphonenumber/Build/Intermediates.noindex/libphonenumber.build/Release/libphonenumber Mac OS.build/Objects-normal/x86_64完全符合Xcode项目编译产物的默认输出规则，苹果官方判定该簇文件为恶意软件，说明文件已被植入恶意载荷或被篡改用于恶意用途。

雇主部署间谍软件的可能性判断参考 #

• 若你使用的是公司配发的设备，且设备已被雇主配置MDM（移动设备管理）管控权限，雇主具备在设备内静默植入监控模块、伪装为常规编译产物的技术条件，该场景下雇主部署的概率较高。
• 若你近期主动在该设备上拉取、编译过libphonenumber相关开源依赖或业务代码，优先考虑是依赖供应链被投毒，和雇主部署无关；若你从未操作过相关项目的编译，文件为静默生成，则人为定向植入的概率极高。
• 可等待苹果官方溯源结果佐证：若最终溯源结果显示该簇文件的代码签名归属你的雇主主体、或文件内置的数据回传地址指向雇主的内部服务地址，可直接确认是雇主部署的监控软件。

临时处置建议 #

• 立即备份设备内的个人重要数据，优先抹盘重装系统清除所有可能残留的恶意模块。
• 若为公司配发设备，重置系统后暂时不要接入公司内部网络，待苹果官方溯源结论明确后再做后续处理。

内容的提问来源于stack exchange，提问作者stephan_phd