Zloděj Miolabů

Miolab, známý také jako Nova, je pokročilý program pro krádež informací, který byl speciálně navržen pro cílení na uživatele macOS. Distribuován prostřednictvím hackerských fór v rámci modelu Malware-as-a-Service (MaaS) umožňuje kyberzločincům přístup k výkonné sadě nástrojů bez nutnosti hlubokých technických znalostí. Malware je schopen extrahovat citlivá data z rozšíření kryptoměnových peněženek, webových prohlížečů a různých aplikací pro správu a zároveň shromažďovat soubory přímo z napadených systémů. Okamžité odstranění po detekci je zásadní pro minimalizaci škod.

Navrženo pro efektivitu, vyrobeno pro úhybné manévry

Miolab není obyčejný stealer; integruje centralizovaný ovládací panel a nástroje pro správu útoků, které výrazně zvyšují úroveň jeho hrozby. Tato infrastruktura umožňuje i méně zkušeným útočníkům provádět složité kampaně. Jeho lehká a optimalizovaná architektura zlepšuje šíření, zajišťuje konzistentní výkon v různých prostředích macOS a pomáhá obcházet tradiční detekční mechanismy.

Velení a řízení: Zjednodušené řízení útoků

Vestavěný ovládací panel poskytuje útočníkům strukturovaný přehled o napadených obětech, včetně geografických dat a získaných informací. Zahrnuje také funkci pro opětovné použití ukradených relací ověřování Google, což umožňuje neoprávněný přístup k účtu bez vyžadování hesla nebo přímé obcházení dvoufaktorového ověřování.

Miolab navíc podporuje nasazení škodlivých distribučních stránek a útočných metod ve stylu ClickFix. Provozovatelé těží z upozornění v reálném čase prostřednictvím Telegramu a mohou automatizovat různé fáze svých kampaní, čímž zvyšují provozní efektivitu a škálovatelnost.

Možnosti extrakce dat z prohlížeče a kryptoměn

Miolab agresivně cílí na data uložená v prohlížečích a extrahuje přihlašovací údaje a informace související s relací, které lze zneužít k dalšímu ohrožení bezpečnosti. Jeho dosah sahá jak na běžné, tak i na specializované prohlížeče, což výrazně rozšiřuje oblast jeho působení.

• Mezi shromažďovaná citlivá data prohlížeče patří uložená hesla, soubory cookie, historie prohlížení a údaje automatického vyplňování, jako jsou e-maily a adresy.
• Shromažďují se také artefakty ověřování, jako jsou tokeny Google a soubory cookie Safari.
  Mezi cílové prohlížeče patří Chrome, Edge, Firefox, Arc, Brave, Librewolf, Opera, Opera GX, SeaMonkey, Tor Browser, Vivaldi, Waterfox, Yandex a Coc Coc
• Kromě prohlížečů se Miolab silně zaměřuje na kryptoměnová aktiva extrakcí souborů jako .dat, .key a .keys z více než 200 rozšíření peněženek. Zaměřuje se také na aplikace používané ke správě hardwarových peněženek, což umožňuje krádež kritických dat pro obnovu.
• Mezi cílené kryptoměnové nástroje patří Atomic Wallet, Binance, Bitcoin, DashCore, Dogecoin, Electrum, Exodus, Guarda, Litecoin, Monero, Tonkeeper a Wasabi Wallet.

• Aplikace jako Ledger Live, Ledger Wallet a Trezor Suite jsou speciálně zaměřeny na extrakci 24slovných frází pro obnovu.

Za hranicemi prohlížečů: Zprávy a využití lokálních dat

Malware rozšiřuje svůj dosah i do komunikačních a produktivních aplikací. Dokáže unést aktivní relace z platforem, jako jsou Telegram a Discord, a útočníkům tak poskytnout přístup k účtu bez nutnosti přihlašovacích údajů. Prohledává také Apple Notes, což je běžné místo, kde si uživatelé mohou neúmyslně ukládat citlivé informace, jako jsou hesla nebo fráze pro obnovení kryptoměny.

Jakmile je sběr dat dokončen, Miolab zkomprimuje ukradené informace do ZIP archivu a extrahuje je přes HTTP. Aby zamaskoval svou aktivitu, zobrazí klamavou chybovou zprávu macOS, která informuje, že aplikaci nelze spustit.

Dopad: Skutečné náklady na infekci

Infekce virem Miolab může vést k vážným následkům. Oběti mohou utrpět finanční ztráty v důsledku odcizení kryptoměny, neoprávněného přístupu k účtu, krádeže identity, poškození pověsti a možnosti dalších infekcí malwarem v důsledku počáteční kompromitace.

Řetězec infekce: Sociální inženýrství v jeho jádru

Miolab se při infiltraci systémů do značné míry spoléhá na podvod. Kyberzločinci jej distribuují prostřednictvím falešných aplikací pro macOS zabalených jako soubory s obrazy disku (DMG), pečlivě vytvořených tak, aby připomínaly legitimní software. Tyto instalační programy často obsahují přesvědčivý branding, ikony a uživatelská rozhraní, aby zvýšily důvěryhodnost.

Po spuštění malware zahájí vícestupňový proces infekce. Zobrazí falešné instalační rozhraní, které uživatele vyzve k obejití bezpečnostních varování kliknutím pravým tlačítkem myši a výběrem možnosti „Otevřít“. Poté se pokusí ukončit aplikaci Terminál, aby omezil viditelnost jejích akcí. Zobrazí se výzva k zadání falešného hesla macOS, která uživatele klame a vyzve k zadání jejich systémových přihlašovacích údajů.

Po ověření hesla Miolab shromažďuje informace na úrovni systému, včetně hardwarových specifikací a softwarových konfigurací. Pokračování provádí skenováním klíčových adresářů, jako je Plocha, Dokumenty a Stažené soubory, přičemž se zaměřuje na soubory, jako jsou dokumenty, tabulky, PDF a data související s hesly. Během tohoto procesu se uživatelé mohou setkat s žádostmi o oprávnění, zatímco malware tiše agreguje a připravuje shromážděná data k odhalení.