Кампания ClickFix для macOS распространяет стилеры

Введение

Microsoft отслеживает развивающуюся кампанию ClickFix, которая теперь нацелена на пользователей macOS через поддельный контент по устранению неполадок и фиктивные инструкции по установке утилит. Это важно, потому что атака уходит от традиционной загрузки приложений и вместо этого злоупотребляет командами Terminal, помогая злоумышленникам обходить часть защит, на которые пользователи рассчитывают при стандартной установке приложений в macOS.

Что нового

По данным Microsoft, злоумышленники публикуют фальшивые советы для macOS на отдельных сайтах, Medium, Craft и аналогичных пользовательских платформах. Приманки часто обещают помочь с распространёнными проблемами, например освобождением места на диске или исправлением системных сбоев.

Ключевые изменения в этой кампании включают:

• Пользователям предлагают вставить в Terminal команды в Base64 или обфусцированные команды
• Эти команды получают удалённый контент и запускают загрузчики на основе скриптов
• Злоумышленники используют нативные инструменты, такие как curl, osascript и интерпретаторы shell
• Этот метод позволяет обойти обычные проверки в стиле Gatekeeper, применяемые к пакетам приложений, открываемым в Finder
• Среди замеченных полезных нагрузок — Macsync, SHub Stealer и AMOS

Microsoft также выделила три пути выполнения:

• Кампания с установкой loader
• Кампания с установкой script
• Кампания с установкой helper

Во всех этих вариантах цель одинакова: собрать учётные данные и конфиденциальные файлы, закрепиться в системе и вывести данные.

Почему это важно для IT-администраторов

Вредоносное ПО выходит далеко за рамки простой кражи учётных данных. По данным Microsoft, эти стилеры могут собирать:

• записи Keychain
• данные учётной записи iCloud
• учётные данные браузеров
• данные Telegram
• медиафайлы и документы
• данные криптовалютных кошельков

Некоторые варианты также подменяют легитимные приложения криптокошельков троянизированными версиями, повышая риск финансовой кражи.

Для команд безопасности более серьёзная проблема — выполнение действий самим пользователем. Поскольку жертва вручную запускает команды в Terminal, злоумышленники меньше зависят от вредоносных пакетов приложений и повышают вероятность успешного компрометации.

Рекомендуемые действия

Администраторам и командам безопасности следует предпринять следующие шаги:

• Обучать пользователей не вставлять команды в Terminal из блогов, форумов или страниц с инструкциями по устранению неполадок
• Отслеживать подозрительное использование curl, osascript, интерпретаторов shell, а также неожиданное создание LaunchAgent или LaunchDaemon
• Проверять промежуточные пути, такие как /tmp/shub_<random ID>, и необычное создание архивов в /tmp
• Анализировать срабатывания, связанные с выводом данных, запросами учётных данных и механизмами закрепления, привязанными к поддельным службам обновления
• Приоритизировать защиту приложений, связанных с криптовалютой, и хранилищ чувствительных пользовательских данных, таких как Keychain

Главное

Эта кампания ClickFix для macOS показывает, как социальная инженерия адаптируется для обхода традиционных защит, основанных на приложениях. Для защитников осведомлённость пользователей, мониторинг конечных точек и выявление подозрительного выполнения скриптов теперь критически важны, чтобы остановить эти цепочки стилеров до кражи данных.