Kampania ClickFix macOS dostarcza infostealery

Wprowadzenie

Microsoft śledzi rozwijającą się kampanię ClickFix, która teraz atakuje użytkowników macOS za pomocą fałszywych treści dotyczących rozwiązywania problemów oraz fikcyjnych instrukcji instalacji narzędzi. To istotne, ponieważ atak odchodzi od tradycyjnego pobierania aplikacji i zamiast tego wykorzystuje polecenia Terminal, pomagając atakującym ominąć część zabezpieczeń, których użytkownicy oczekują przy standardowej instalacji aplikacji w macOS.

Co nowego

Microsoft informuje, że cyberprzestępcy publikują fałszywe porady dotyczące macOS na niezależnych stronach internetowych, Medium, Craft i podobnych platformach tworzonych przez użytkowników. Przynęty często twierdzą, że pomagają w typowych problemach, takich jak zwalnianie miejsca na dysku lub naprawa problemów systemowych.

Kluczowe zmiany w tej kampanii obejmują:

• Użytkownicy są instruowani, aby wkleić do Terminal polecenia zakodowane w Base64 lub zaciemnione
• Polecenia pobierają zdalną zawartość i uruchamiają loadery oparte na skryptach
• Atakujący używają natywnych narzędzi, takich jak curl, osascript i interpretery powłoki
• Ta metoda omija standardowe kontrole w stylu Gatekeeper stosowane do pakietów aplikacji otwieranych w Finder
• Zaobserwowane payloady obejmują Macsync, SHub Stealer i AMOS

Microsoft zidentyfikował również trzy ścieżki wykonania:

• Kampania instalacji loadera
• Kampania instalacji skryptu
• Kampania instalacji helpera

We wszystkich tych wariantach cel pozostaje taki sam: zbieranie poświadczeń i wrażliwych plików, ustanowienie trwałości oraz eksfiltracja danych.

Dlaczego to ważne dla administratorów IT

To złośliwe oprogramowanie wykracza poza prostą kradzież poświadczeń. Według Microsoft te infostealery mogą zbierać:

• Wpisy Keychain
• Dane konta iCloud
• Poświadczenia przeglądarek
• Dane Telegram
• Multimedia i dokumenty
• Dane portfeli kryptowalutowych

Niektóre warianty zastępują także legalne aplikacje portfeli kryptowalutowych ich ztrojanizowanymi wersjami, zwiększając ryzyko kradzieży finansowej.

Dla zespołów bezpieczeństwa większym problemem jest wykonanie inicjowane przez użytkownika. Ponieważ ofiara ręcznie uruchamia polecenia w Terminal, atakujący ograniczają zależność od złośliwych pakietów aplikacji i zwiększają szansę na skuteczne przejęcie systemu.

Zalecane działania

Administratorzy i zespoły bezpieczeństwa powinni podjąć następujące kroki:

• Edukować użytkowników, aby nie wklejali poleceń do Terminal z blogów, forów ani stron z poradami
• Monitorować podejrzane użycie curl, osascript, interpreterów powłoki oraz nieoczekiwane tworzenie LaunchAgent lub LaunchDaemon
• Badać ścieżki etapowania, takie jak /tmp/shub_<random ID>, oraz nietypowe tworzenie archiwów w /tmp
• Przeglądać wykrycia związane z eksfiltracją danych, monitami o poświadczenia i trwałością powiązaną z fałszywymi usługami aktualizacji
• Nadać priorytet ochronie aplikacji związanych z kryptowalutami oraz wrażliwych magazynów danych użytkownika, takich jak Keychain

Podsumowanie

Ta kampania ClickFix dla macOS pokazuje, jak socjotechnika dostosowuje się, aby omijać tradycyjne mechanizmy obrony oparte na aplikacjach. Dla obrońców kluczowe są teraz świadomość użytkowników, monitorowanie endpointów oraz wykrywanie podejrzanego wykonywania skryptów, aby zatrzymać te łańcuchy infostealerów, zanim dojdzie do kradzieży danych.