ClickFix macOS kampanja isporučuje infostealere

Uvod

Microsoft prati ClickFix kampanju u razvoju koja sada cilja macOS korisnike putem lažnog sadržaja za rešavanje problema i lažnih uputstava za instalaciju alata. Ovo je važno jer se napad udaljava od tradicionalnog preuzimanja aplikacija i umesto toga zloupotrebljava Terminal komande, pomažući napadačima da izbegnu deo zaštita koje korisnici očekuju od standardnih instalacija macOS aplikacija.

Šta je novo

Microsoft navodi da akteri pretnji objavljuju lažne savete za macOS na samostalnim veb-sajtovima, Medium-u, Craft-u i sličnim platformama koje pokreću korisnici. Mamci često tvrde da pomažu kod uobičajenih problema, kao što su oslobađanje prostora na disku ili rešavanje sistemskih problema.

Ključne promene u ovoj kampanji uključuju:

• Korisnicima se daje uputstvo da nalepe Base64-kodirane ili obfuskovane komande u Terminal
• Komande preuzimaju udaljeni sadržaj i pokreću loadere zasnovane na skriptama
• Napadači koriste izvorne alate kao što su curl, osascript i shell interpreteri
• Ovaj metod izbegava uobičajene provere u stilu Gatekeeper-a koje se primenjuju na app bundle-ove otvorene u Finder-u
• Uočeni payload-ovi uključuju Macsync, SHub Stealer i AMOS

Microsoft je takođe identifikovao tri putanje izvršavanja:

• Loader install campaign
• Script install campaign
• Helper install campaign

Kroz ove varijante, cilj je dosledan: prikupljanje akreditiva i osetljivih fajlova, uspostavljanje postojanosti i eksfiltracija podataka.

Zašto je ovo važno za IT administratore

Malver prevazilazi jednostavnu krađu akreditiva. Prema Microsoft-u, ovi infostealeri mogu da prikupljaju:

• Keychain stavke
• iCloud nalog podatke
• Browser akreditive
• Telegram podatke
• Medijske fajlove i dokumenta
• Podatke iz cryptocurrency wallet-a

Neke varijante takođe zamenjuju legitimne crypto wallet aplikacije trojanizovanim verzijama, čime se povećava rizik od finansijske krađe.

Za bezbednosne timove, veća briga je izvršavanje koje pokreće korisnik. Pošto žrtva ručno pokreće komande u Terminal-u, napadači smanjuju zavisnost od zlonamernih paketa aplikacija i povećavaju šansu za uspešnu kompromitaciju.

Preporučene mere

Administratori i bezbednosni timovi treba da preduzmu sledeće korake:

• Edukujte korisnike da ne lepe komande u Terminal sa blogova, foruma ili stranica za rešavanje problema
• Nadgledajte sumnjivu upotrebu curl, osascript, shell interpretera i neočekivano kreiranje LaunchAgent ili LaunchDaemon stavki
• Istražite staging putanje kao što je /tmp/shub_<random ID> i neuobičajeno kreiranje arhiva u /tmp
• Pregledajte detekcije za eksfiltraciju podataka, prompt-ove za akreditive i postojanost povezanu sa lažnim update servisima
• Dajte prioritet zaštiti aplikacija povezanih sa crypto-om i osetljivih skladišta korisničkih podataka kao što je Keychain

Suština

Ova ClickFix macOS kampanja pokazuje kako se social engineering prilagođava da zaobiđe tradicionalne odbrane zasnovane na aplikacijama. Za branioce su svest korisnika, endpoint monitoring i detekcija sumnjivog izvršavanja skripti sada ključni za zaustavljanje ovih lanaca infostealera pre nego što podaci budu ukradeni.