Programari maliciós Atomic macOS Stealer

Investigadors de ciberseguretat han descobert una nova campanya de programari maliciós que aprofita la tàctica enganyosa d'enginyeria social coneguda com a ClickFix per distribuir Atomic macOS Stealer (AMOS), un programari maliciós que roba informació i que està dissenyat per comprometre els sistemes macOS d'Apple.

Tàctiques de Typosquat: Suplantació d’Espectre

Els atacants darrere d'aquesta campanya utilitzen dominis typosquat que imiten el proveïdor de telecomunicacions Spectrum, amb seu als Estats Units, utilitzant llocs web fraudulents com panel-spectrum.net i spectrum-ticket.net per atraure usuaris desprevinguts. Aquests dominis semblants estan dissenyats per semblar legítims, augmentant la probabilitat de confiança i interacció dels usuaris.

Script de shell maliciós: la càrrega útil oculta

A qualsevol usuari de macOS que visiti aquests llocs web falsos se li serveix un script de shell maliciós. Aquest script demana a les víctimes que introdueixin la contrasenya del sistema i procedeix a robar credencials, eludir els controls de seguretat de macOS i instal·lar una variant del programari maliciós AMOS per a una major explotació. Les ordres natives de macOS s'utilitzen per maximitzar l'eficàcia del script tot mantenint un perfil baix.

Traces d’origen: Comentaris sobre el codi en llengua russa

Les proves suggereixen que els ciberdelinqüents de parla russa podrien estar darrere d'aquesta campanya. Els investigadors van trobar comentaris en rus incrustats al codi font del programari maliciós, cosa que apunta al probable origen geogràfic i lingüístic dels actors de l'amenaça.

CAPTCHA enganyós: l’esquer ClickFix

L'atac comença amb un missatge de verificació hCaptcha fals que afirma estar comprovant la seguretat de la connexió de l'usuari. Després de fer clic a la casella de selecció "Sóc humà", els usuaris reben un missatge d'error fals: "Error de verificació CAPTCHA". A continuació, se'ls demana que continuïn amb una "Verificació alternativa".

Aquesta acció copia una ordre maliciosa al porta-retalls i mostra instruccions basades en el sistema operatiu de l'usuari. A macOS, les víctimes reben instruccions per enganxar i executar l'ordre a l'aplicació Terminal, iniciant la descàrrega d'AMOS.

Execució descuidada: pistes al codi

Malgrat la intenció perillosa de la campanya, els investigadors van observar inconsistències en la infraestructura d'atac. Es van observar errors de lògica i programació deficients a les pàgines de lliurament, com ara:

• S'estan copiant les ordres del PowerShell per als usuaris de Linux.
• Instruccions específiques de Windows que es mostren tant a usuaris de Windows com de Mac.
• Discrepàncies al front-end entre el sistema operatiu mostrat i les instruccions.

• Aquests errors indiquen una infraestructura d'atac construïda a corre-cuita o mal mantinguda.

L’auge de ClickFix: un vector d’amenaces en expansió

Aquest desenvolupament forma part d'una tendència creixent en l'ús de la tàctica ClickFix en múltiples campanyes de programari maliciós durant l'últim any. Els actors amenaçadors utilitzen constantment tècniques, eines i procediments (TTP) similars per a l'accés inicial, més comunament:

• Suplantació d'identitat submarina
• Descàrregues instantànies
• Enllaços maliciosos compartits a través de plataformes de confiança com ara GitHub

Solucions falses, danys reals: l’enginyeria social en el seu pitjor moment

S'enganya les víctimes fent-les creure que estan resolent un problema tècnic benigne. En realitat, estan executant ordres nocives que instal·len programari maliciós. Aquesta forma d'enginyeria social és molt eficaç per eludir la consciència de l'usuari i els mecanismes de seguretat estàndard.

Impacte creixent: dispersió global i càrregues útils diverses

S'han detectat campanyes de ClickFix en entorns de clients dels Estats Units, Europa, l'Orient Mitjà i l'Àfrica (EMEA). Aquests atacs són cada cop més diversificats i no només inclouen atacs maliciosos com AMOS, sinó també troians i ransomware. Tot i que les càrregues útils poden variar, la metodologia principal continua sent coherent: manipular el comportament de l'usuari per comprometre la seguretat.

Conclusió: Cal vigilància

Aquesta campanya subratlla la importància de la vigilància contínua, l'educació dels usuaris i uns controls de seguretat robustos. A mesura que evolucionen les tàctiques d'enginyeria social com ClickFix, tant les organitzacions com els individus han de mantenir-se informats i preparats per reconèixer i bloquejar aquestes amenaces enganyoses.