Złodziej Miolab

Miolab, znany również jako Nova, to zaawansowany program do kradzieży informacji, zaprojektowany specjalnie z myślą o użytkownikach systemu macOS. Rozpowszechniany na forach hakerskich w modelu Malware-as-a-Service (MaaS), umożliwia cyberprzestępcom dostęp do potężnego zestawu narzędzi bez konieczności posiadania rozległej wiedzy technicznej. Szkodliwe oprogramowanie potrafi wydobywać poufne dane z rozszerzeń portfeli kryptowalut, przeglądarek internetowych i różnych aplikacji zarządzających, a także przechwytywać pliki bezpośrednio z zainfekowanych systemów. Natychmiastowe usunięcie po wykryciu jest kluczowe, aby zminimalizować szkody.

Zaprojektowane dla wydajności, zbudowane dla unikania

Miolab nie jest zwykłym stealterem; integruje scentralizowany panel sterowania i narzędzia do zarządzania atakami, które znacząco zwiększają jego poziom zagrożenia. Ta infrastruktura pozwala nawet atakującym o niskich umiejętnościach na przeprowadzanie złożonych kampanii. Jego lekka i zoptymalizowana architektura usprawnia propagację, zapewnia spójną wydajność w różnych środowiskach macOS i pomaga omijać tradycyjne mechanizmy wykrywania.

Dowodzenie i kontrola: uproszczone zarządzanie atakami

Wbudowany panel sterowania zapewnia atakującym ustrukturyzowany przegląd zainfekowanych ofiar, w tym dane geograficzne i zebrane informacje. Zawiera również funkcję ponownego wykorzystania skradzionych sesji uwierzytelniania Google, umożliwiając nieautoryzowany dostęp do konta bez konieczności podawania hasła lub bezpośredniego omijania uwierzytelniania dwuskładnikowego.

Dodatkowo Miolab wspiera wdrażanie złośliwych stron dystrybucyjnych i metod ataków w stylu ClickFix. Operatorzy korzystają z powiadomień w czasie rzeczywistym za pośrednictwem Telegramu i mogą automatyzować różne etapy swoich kampanii, zwiększając wydajność operacyjną i skalę.

Możliwości ekstrakcji danych z przeglądarki i kryptowalut

Miolab agresywnie atakuje dane przechowywane w przeglądarce, wydobywając dane uwierzytelniające i informacje związane z sesją, które mogą zostać wykorzystane do dalszych ataków. Jego zasięg obejmuje zarówno przeglądarki popularne, jak i niszowe, co znacznie poszerza obszar jego oddziaływania.

• Gromadzone są wrażliwe dane przeglądarki, w tym zapisane hasła, pliki cookie, historia przeglądania i dane autouzupełniania, takie jak adresy e-mail i adresy
• Gromadzone są również artefakty uwierzytelniania, takie jak tokeny Google i pliki cookie Safari
  Przeglądarki objęte programem to m.in. Chrome, Edge, Firefox, Arc, Brave, Librewolf, Opera, Opera GX, SeaMonkey, Tor Browser, Vivaldi, Waterfox, Yandex i Coc Coc
• Poza przeglądarkami, Miolab koncentruje się głównie na zasobach kryptowalutowych, wyodrębniając pliki takie jak .dat, .key i .keys z ponad 200 rozszerzeń portfeli. Celuje również w aplikacje służące do zarządzania portfelami sprzętowymi, umożliwiając kradzież krytycznych danych do odzyskania.
• Do docelowych narzędzi kryptowalutowych należą Atomic Wallet, Binance, Bitcoin, DashCore, Dogecoin, Electrum, Exodus, Guarda, Litecoin, Monero, Tonkeeper i Wasabi Wallet

• Aplikacje takie jak Ledger Live, Ledger Wallet i Trezor Suite są przeznaczone specjalnie do ekstrakcji frazy kluczowej składającej się z 24 słów

Poza przeglądarkami: wiadomości i eksploatacja danych lokalnych

Szkodliwe oprogramowanie rozszerza swój zasięg na aplikacje komunikacyjne i biurowe. Potrafi przejąć aktywne sesje na platformach takich jak Telegram i Discord, przyznając atakującym dostęp do konta bez konieczności podawania danych uwierzytelniających. Kontroluje również Apple Notes, popularną lokalizację, w której użytkownicy mogą nieumyślnie przechowywać poufne informacje, takie jak hasła czy frazy odzyskiwania kryptowalut.

Po zakończeniu gromadzenia danych Miolab kompresuje skradzione informacje do archiwum ZIP i przesyła je przez HTTP. Aby ukryć swoją aktywność, wyświetla zwodniczy komunikat o błędzie systemu macOS, informujący, że aplikacja nie może zostać uruchomiona.

Wpływ: Rzeczywisty koszt infekcji

Zakażenie wirusem Miolab może prowadzić do poważnych konsekwencji. Ofiary mogą ponieść straty finansowe z powodu kradzieży kryptowaluty, nieautoryzowanego dostępu do konta, kradzieży tożsamości, utraty reputacji oraz możliwości dalszych infekcji złośliwym oprogramowaniem w wyniku pierwotnego ataku.

Łańcuch infekcji: inżynieria społeczna w jego centrum

Miolab w dużej mierze opiera się na oszustwie, aby infiltrować systemy. Cyberprzestępcy rozpowszechniają go za pośrednictwem fałszywych aplikacji macOS w postaci plików obrazów dysków (.DMG), starannie zaprojektowanych tak, aby przypominały legalne oprogramowanie. Te instalatory często zawierają przekonujące logo, ikony i interfejsy użytkownika, aby zwiększyć wiarygodność.

Po uruchomieniu, złośliwe oprogramowanie inicjuje wieloetapowy proces infekcji. Wyświetla fałszywy interfejs instalacyjny, zachęcając użytkowników do ominięcia ostrzeżeń bezpieczeństwa poprzez kliknięcie prawym przyciskiem myszy i wybranie opcji „Otwórz”. Następnie próbuje zamknąć aplikację Terminal, aby ograniczyć widoczność swoich działań. Wyświetlany jest fałszywy monit o podanie hasła systemu macOS, który ma na celu nakłonienie użytkowników do podania danych logowania do systemu.

Po sprawdzeniu hasła, Miolab gromadzi informacje na poziomie systemu, w tym specyfikacje sprzętowe i konfiguracje oprogramowania. Następnie skanuje kluczowe katalogi, takie jak Pulpit, Dokumenty i Pobrane, skupiając się na plikach takich jak dokumenty, arkusze kalkulacyjne, pliki PDF oraz danych związanych z hasłami. Podczas tego procesu użytkownicy mogą napotkać prośby o uprawnienia, a złośliwe oprogramowanie po cichu agreguje zebrane dane i przygotowuje je do eksfiltracji.