Miolab-dief

Miolab, ook bekend als Nova, is een geavanceerde malware die specifiek is ontworpen om macOS-gebruikers aan te vallen. De malware wordt verspreid via hackerforums volgens het Malware-as-a-Service (MaaS)-model, waardoor cybercriminelen toegang krijgen tot een krachtige toolkit zonder diepgaande technische kennis. De malware is in staat gevoelige gegevens te extraheren uit extensies voor cryptocurrency-wallets, webbrowsers en diverse beheertoepassingen, en kan ook bestanden rechtstreeks van geïnfecteerde systemen verzamelen. Onmiddellijke verwijdering is cruciaal na detectie om de schade te minimaliseren.

Ontworpen voor efficiëntie, gebouwd om te ontwijken.

Miolab is geen doorsnee stealer; het integreert een gecentraliseerd controlepaneel en tools voor aanvalsbeheer die het dreigingsniveau aanzienlijk verhogen. Deze infrastructuur stelt zelfs minder ervaren aanvallers in staat complexe campagnes uit te voeren. De lichte en geoptimaliseerde architectuur bevordert de verspreiding, garandeert consistente prestaties in diverse macOS-omgevingen en helpt traditionele detectiemechanismen te omzeilen.

Command-and-Control: Vereenvoudigd aanvalsbeheer

Het ingebouwde controlepaneel biedt aanvallers een gestructureerd overzicht van gecompromitteerde slachtoffers, inclusief geografische gegevens en verzamelde informatie. Het bevat ook functionaliteit om gestolen Google-authenticatiesessies opnieuw te gebruiken, waardoor ongeautoriseerde toegang tot accounts mogelijk is zonder wachtwoorden of het direct omzeilen van tweefactorauthenticatie.

Daarnaast ondersteunt Miolab de inzet van kwaadaardige distributiepagina's en aanvalsmethoden in de stijl van ClickFix. Operators profiteren van realtime meldingen via Telegram en kunnen verschillende fasen van hun campagnes automatiseren, waardoor de operationele efficiëntie en schaalbaarheid toenemen.

Mogelijkheden voor het extraheren van browser- en cryptovalutagegevens

Miolab richt zich agressief op in browsers opgeslagen gegevens en extraheert inloggegevens en sessie-informatie die kunnen worden gebruikt voor verdere inbreuken. Het bereik strekt zich uit over zowel gangbare als nichebrowsers, waardoor het impactgebied aanzienlijk wordt vergroot.

• Tot de verzamelde gevoelige browsergegevens behoren opgeslagen wachtwoorden, cookies, browsegeschiedenis en automatisch ingevulde gegevens zoals e-mailadressen en adressen.
• Authenticatiegegevens zoals Google-tokens en Safari-cookies worden ook verzameld.
  De browsers die het doelwit zijn, zijn onder andere Chrome, Edge, Firefox, Arc, Brave, Librewolf, Opera, Opera GX, SeaMonkey, Tor Browser, Vivaldi, Waterfox, Yandex en Coc Coc.
• Naast browsers richt Miolab zich sterk op cryptovaluta door bestanden zoals .dat, .key en .keys te extraheren uit meer dan 200 wallet-extensies. Het bedrijf richt zich ook op applicaties die worden gebruikt voor het beheer van hardware wallets, waardoor de diefstal van cruciale herstelgegevens mogelijk wordt.
• De crypto-tools waarop de focus ligt, zijn onder andere Atomic Wallet, Binance, Bitcoin, DashCore, Dogecoin, Electrum, Exodus, Guarda, Litecoin, Monero, Tonkeeper en Wasabi Wallet.

• Applicaties zoals Ledger Live, Ledger Wallet en Trezor Suite zijn specifiek ontworpen voor het extraheren van een herstelzin van 24 woorden.

Voorbij browsers: berichtenverkeer en exploitatie van lokale data

De malware breidt zijn bereik uit naar communicatie- en productiviteitstoepassingen. Het kan actieve sessies kapen van platforms zoals Telegram en Discord, waardoor aanvallers toegang krijgen tot accounts zonder inloggegevens. Het inspecteert ook Apple Notes, een veelgebruikte locatie waar gebruikers onbedoeld gevoelige informatie opslaan, zoals wachtwoorden of herstelzinnen voor cryptovaluta.

Zodra de gegevensverzameling is voltooid, comprimeert Miolab de gestolen informatie tot een ZIP-archief en verstuurt dit via HTTP. Om zijn activiteiten te verbergen, toont het een misleidende macOS-foutmelding die aangeeft dat de applicatie niet kan worden uitgevoerd.

Impact: De werkelijke kosten van infectie

Een Miolab-infectie kan ernstige gevolgen hebben. Slachtoffers kunnen financiële verliezen lijden door gestolen cryptovaluta, ongeautoriseerde toegang tot accounts, identiteitsdiefstal, reputatieschade en de mogelijkheid van verdere malware-infecties als gevolg van de initiële inbreuk.

Infectieketen: Sociale manipulatie in de kern

Miolab maakt veelvuldig gebruik van misleiding om systemen te infiltreren. Cybercriminelen verspreiden het via nep-macOS-applicaties die verpakt zijn als schijfkopiebestanden (.DMG), zorgvuldig ontworpen om op legitieme software te lijken. Deze installatieprogramma's hebben vaak overtuigende merknamen, pictogrammen en gebruikersinterfaces om de geloofwaardigheid te vergroten.

Na uitvoering start de malware een infectieproces in meerdere stappen. Het toont een nep-installatie-interface waarin gebruikers worden aangespoord om beveiligingswaarschuwingen te negeren door met de rechtermuisknop te klikken en 'Openen' te selecteren. Vervolgens probeert het de Terminal-applicatie af te sluiten om de zichtbaarheid van zijn acties te beperken. Er wordt een nep-wachtwoordprompt voor macOS weergegeven, waarmee gebruikers worden misleid om hun systeemgegevens in te voeren.

Na het valideren van het wachtwoord verzamelt Miolab systeeminformatie, waaronder hardwarespecificaties en softwareconfiguraties. Vervolgens scant het belangrijke mappen zoals Desktop, Documenten en Downloads, gericht op bestanden zoals documenten, spreadsheets, pdf's en wachtwoordgerelateerde gegevens. Tijdens dit proces kunnen gebruikers verzoeken om toestemming tegenkomen, terwijl de malware de verzamelde gegevens stilletjes verzamelt en voorbereidt voor exfiltratie.