Atómový malvér pre macOS Stealer

Výskumníci v oblasti kybernetickej bezpečnosti odhalili novú malvérovú kampaň, ktorá využíva klamlivú taktiku sociálneho inžinierstva známu ako ClickFix na distribúciu Atomic macOS Stealer (AMOS), malvéru kradnúceho informácie, ktorý je navrhnutý tak, aby ohrozil systémy Apple macOS.

Taktika Typosquatu: Vydávanie sa za Spectrum

Útočníci stojaci za touto kampaňou používajú domény s preklepmi napodobňujúce amerického telekomunikačného poskytovateľa Spectrum a používajú podvodné webové stránky ako panel-spectrum.net a spectrum-ticket.net na nalákanie nič netušiacich používateľov. Tieto zdanlivo podobné domény sú vytvorené tak, aby vyzerali legitímne, čím sa zvyšuje pravdepodobnosť dôvery a interakcie používateľov.

Škodlivý skript Shell: Skrytý užitočný náklad

Všetkým používateľom systému macOS, ktorí navštívia tieto falošné stránky, sa zobrazí škodlivý skript. Tento skript vyzve obete na zadanie systémového hesla a následne ukradne prihlasovacie údaje, obíde bezpečnostné kontroly systému macOS a nainštaluje variant malvéru AMOS na ďalšie zneužitie. Natívne príkazy systému macOS sa používajú na maximalizáciu účinnosti skriptu a zároveň na zachovanie jeho nenápadnosti.

Stopy pôvodu: Komentáre k ruskojazyčnému kódu

Dôkazy naznačujú, že za touto kampaňou môžu stáť rusky hovoriaci kyberzločinci. Výskumníci našli v zdrojovom kóde škodlivého softvéru komentáre v ruskom jazyku, ktoré poukazujú na pravdepodobný geografický a jazykový pôvod aktérov hrozby.

Klamlivá CAPTCHA: Lákadlo ClickFix

Útok začína falošnou overovacou správou hCaptcha, ktorá údajne kontroluje bezpečnosť pripojenia používateľa. Po kliknutí na zaškrtávacie políčko „Som človek“ sa používateľom zobrazí falošná chybová správa: „Overenie CAPTCHA zlyhalo“. Následne sú vyzvaní, aby pokračovali s „alternatívnym overením“.

Táto akcia skopíruje škodlivý príkaz do schránky a zobrazí pokyny na základe operačného systému používateľa. V systéme macOS sú obete vedené k vloženiu a spusteniu príkazu v aplikácii Terminál, čím sa spustí sťahovanie súboru AMOS.

Nedbalé prevedenie: Indície v kóde

Napriek nebezpečnému zámeru kampane si výskumníci všimli nezrovnalosti v útočnej infraštruktúre. Na stránkach s doručovaním boli pozorované zlé logické a programátorské chyby, ako napríklad:

• Kopírovanie príkazov PowerShellu pre používateľov Linuxu.
• Pokyny špecifické pre Windows zobrazené používateľom Windowsu aj Macu.
• Nezhody medzi zobrazeným operačným systémom a inštrukciami na front-ende.

• Tieto chyby naznačujú narýchlo vybudovanú alebo zle udržiavanú útočnú infraštruktúru.

Vzostup ClickFixu: Rozširujúci sa vektor hrozby

Tento vývoj je súčasťou rastúceho trendu používania taktiky ClickFix vo viacerých malvérových kampaniach za posledný rok. Páchatelia hrozieb konzistentne používajú podobné techniky, nástroje a postupy (TTP) pre počiatočný prístup, najčastejšie:

• Spear phishing
• Sťahovanie z auta
• Škodlivé odkazy zdieľané prostredníctvom dôveryhodných platforiem, ako je GitHub

Falošné opravy, skutočné škody: Sociálne inžinierstvo v najhoršom prípade

Obete sú oklamané, aby verili, že riešia neškodný technický problém. V skutočnosti však vykonávajú škodlivé príkazy, ktoré inštalujú malvér. Táto forma sociálneho inžinierstva je veľmi účinná pri obchádzaní informovanosti používateľov a štandardných bezpečnostných mechanizmov.

Rastúci vplyv: Globálne rozšírenie a rozmanité užitočné zaťaženie

Kampane ClickFix boli zistené v prostrediach zákazníkov v Spojených štátoch, Európe, na Blízkom východe a v Afrike (EMEA). Tieto útoky sú čoraz diverzifikovanejšie a prinášajú nielen kradnutie softvéru ako AMOS, ale aj trójske kone a ransomvér. Hoci sa užitočné zaťaženie môže líšiť, základná metodika zostáva konzistentná: manipulácia so správaním používateľov s cieľom ohroziť bezpečnosť.

Záver: Je potrebná ostražitosť

Táto kampaň zdôrazňuje dôležitosť neustálej ostražitosti, vzdelávania používateľov a prísnych bezpečnostných kontrol. S vývojom taktík sociálneho inžinierstva, ako je ClickFix, musia organizácie aj jednotlivci zostať informovaní a pripravení rozpoznať a blokovať takéto klamlivé hrozby.