Intrusione macOS di Sapphire Sleet: insight chiave

Introduzione

Microsoft ha pubblicato una nuova ricerca su una campagna di intrusione macOS collegata a Sapphire Sleet, un attore di minaccia nordcoreano noto per prendere di mira organizzazioni nei settori delle criptovalute e della finanza. Il report è importante perché mostra come gli attaccanti possano compromettere i Mac senza usare un exploit software, semplicemente convincendo gli utenti a eseguire quello che sembra un aggiornamento legittimo.

Cosa c’è di nuovo in questa campagna

Microsoft ha osservato Sapphire Sleet usare un file falso Zoom SDK Update.scpt per avviare una catena di infezione multi-stage su macOS.

Tecniche chiave evidenziate

• Social engineering invece degli exploit: la campagna dipende dal fatto che gli utenti aprano ed eseguano manualmente un file AppleScript malevolo.
• Abuso di app affidabili: l’esca si apre in macOS Script Editor, un’applicazione legittima di Apple, aiutando l’attività a sembrare innocua.
• Consegna multi-stage dei payload: lo script usa curl e osascript per recuperare ed eseguire ulteriori payload AppleScript da infrastrutture controllate dagli attaccanti.
• Furto di credenziali e persistenza: le fasi successive raccolgono password, prendono di mira asset di criptovalute, manipolano comportamenti correlati a TCC, stabiliscono persistenza ed esfiltrano dati sensibili.
• Flusso di falso aggiornamento: lo script malevolo include istruzioni di aggiornamento false e avvia strumenti di sistema affidabili per rafforzare la legittimità apparente.

Microsoft ha osservato che questa catena di attacco può operare al di fuori dei normali confini di applicazione della sicurezza di macOS quando l’esecuzione è avviata dall’utente, riducendo l’efficacia di controlli come Gatekeeper, verifiche di notarization, applicazione della quarantena e parti del framework Transparency, Consent, and Control.

Perché è importante per i defender

Per i team IT e di sicurezza, il messaggio principale è che gli utenti macOS restano altamente vulnerabili a esche convincenti, soprattutto in settori ad alto valore come criptovalute, venture capital, finanza e blockchain. La campagna mostra anche che gli attaccanti combinano sempre più spesso utility legittime di macOS con una consegna staged dei payload per evitare di destare sospetti.

Le organizzazioni che usano Microsoft Defender dovrebbero esaminare i rilevamenti, le indicazioni per hunting e gli indicatori di compromissione appena pubblicati da Microsoft per questa attività. La visibilità cross-platform è essenziale, soprattutto negli ambienti che storicamente hanno considerato i Mac endpoint a rischio inferiore.

Prossimi passi consigliati

• Formare gli utenti per evitare di eseguire file di aggiornamento inattesi, in particolare file .scpt o script distribuiti al di fuori dei canali ufficiali.
• Mantenere macOS aggiornato con le protezioni e gli aggiornamenti di sicurezza più recenti di Apple.
• Rivedere i rilevamenti sugli endpoint per individuare l’uso sospetto in sequenza di Script Editor, osascript e curl.
• Fare hunting di attività di falsi aggiornamenti e di esecuzioni anomale di AppleScript collegate a download esterni.
• Dare priorità agli utenti ad alto rischio nei ruoli finance, crypto ed executive con monitoraggio più rigoroso e controlli resistenti al phishing.

Questa ricerca ricorda che i moderni attacchi a macOS spesso hanno successo grazie alla persuasione, non allo sfruttamento. I team di sicurezza dovrebbero combinare consapevolezza degli utenti, monitoraggio degli endpoint e controlli di difesa stratificati per ridurre l’esposizione.