ClickFix macOS-campagne verspreidt infostealers
Samenvatting
Microsoft heeft een nieuwe ClickFix-achtige campagne geïdentificeerd die macOS-gebruikers aanvalt met nep-instructies voor probleemoplossing en hulpprogramma’s op blogs en contentplatforms. In plaats van apps te downloaden, worden slachtoffers misleid om Terminal-opdrachten uit te voeren die de gebruikelijke macOS-appcontroles omzeilen en infostealers zoals Macsync, SHub Stealer en AMOS installeren.
Inleiding
Microsoft volgt een evoluerende ClickFix-campagne die nu macOS-gebruikers aanvalt via valse content voor probleemoplossing en nep-instructies voor het installeren van hulpprogramma’s. Dit is belangrijk omdat de aanval verschuift van traditionele app-downloads naar misbruik van Terminal-opdrachten, waardoor aanvallers sommige beveiligingen kunnen omzeilen die gebruikers verwachten bij standaard macOS-appinstallaties.
Wat is er nieuw
Microsoft meldt dat dreigingsactoren valse macOS-adviezen plaatsen op zelfstandige websites, Medium, Craft en vergelijkbare door gebruikers gedreven platforms. De lokmiddelen beweren vaak te helpen bij veelvoorkomende problemen, zoals schijfruimte vrijmaken of systeemproblemen oplossen.
Belangrijke veranderingen in deze campagne zijn onder meer:
- Gebruikers krijgen de instructie om Base64-gecodeerde of versluierde opdrachten in Terminal te plakken
- De opdrachten halen externe content op en starten scriptgebaseerde loaders
- Aanvallers gebruiken native tools zoals
curl,osascripten shell-interpreters - Deze methode vermijdt de normale Gatekeeper-achtige controles die worden toegepast op appbundels die in Finder worden geopend
- Waargenomen payloads zijn onder meer Macsync, SHub Stealer en AMOS
Microsoft identificeerde ook drie uitvoeringspaden:
- Loader-installatiecampagne
- Script-installatiecampagne
- Helper-installatiecampagne
In al deze varianten is het doel consistent: referenties en gevoelige bestanden verzamelen, persistentie opzetten en data exfiltreren.
Waarom dit belangrijk is voor IT-beheerders
De malware gaat verder dan eenvoudige diefstal van referenties. Volgens Microsoft kunnen deze infostealers het volgende verzamelen:
- Keychain-items
- iCloud-accountgegevens
- Browserreferenties
- Telegram-gegevens
- Media en documenten
- Gegevens van cryptocurrency-wallets
Sommige varianten vervangen ook legitieme crypto-walletapps door getrojaniseerde versies, wat het risico op financiële diefstal vergroot.
Voor securityteams is de grotere zorg uitvoering door de gebruiker zelf. Omdat het slachtoffer handmatig opdrachten uitvoert in Terminal, zijn aanvallers minder afhankelijk van kwaadaardige app-pakketten en neemt de kans op een succesvolle compromittering toe.
Aanbevolen acties
Beheerders en securityteams moeten de volgende stappen nemen:
- Leer gebruikers om geen opdrachten in Terminal te plakken vanaf blogs, forums of pagina’s voor probleemoplossing
- Monitor op verdacht gebruik van
curl,osascript, shell-interpreters en onverwachte creatie van LaunchAgent- of LaunchDaemon-items - Onderzoek stagingpaden zoals
/tmp/shub_<random ID>en ongebruikelijke archiefcreatie in/tmp - Controleer detecties op data-exfiltratie, prompts voor referenties en persistentie gekoppeld aan valse updateservices
- Geef prioriteit aan bescherming van crypto-gerelateerde apps en gevoelige gebruikersdatastores zoals Keychain
Conclusie
Deze ClickFix macOS-campagne laat zien hoe social engineering zich aanpast om traditionele app-gebaseerde verdedigingen te omzeilen. Voor defenders zijn gebruikersbewustzijn, endpointmonitoring en detectie van verdachte scriptuitvoering nu cruciaal om deze infostealer-ketens te stoppen voordat data wordt gestolen.
Hulp nodig met Security?
Onze experts helpen u bij het implementeren en optimaliseren van uw Microsoft-oplossingen.
Praat met een expertBlijf op de hoogte van Microsoft-technologieën