Zlodej Miolab

Miolab, tiež známy ako Nova, je pokročilý program na krádež informácií, ktorý bol špeciálne navrhnutý pre používateľov macOS. Distribuovaný prostredníctvom hackerských fór v rámci modelu Malware-as-a-Service (MaaS) umožňuje kyberzločincom prístup k výkonnej sade nástrojov bez nutnosti rozsiahlych technických znalostí. Malvér je schopný extrahovať citlivé údaje z rozšírení kryptomenových peňaženiek, webových prehliadačov a rôznych aplikácií na správu a zároveň zhromažďovať súbory priamo z napadnutých systémov. Okamžité odstránenie po detekcii je nevyhnutné, aby sa minimalizovali škody.

Navrhnuté pre efektivitu, vyrobené pre úniky

Miolab nie je len jednoduchý nástroj na vykrádanie škodlivého softvéru; integruje centralizovaný ovládací panel a nástroje na správu útokov, ktoré výrazne zvyšujú úroveň jeho hrozby. Táto infraštruktúra umožňuje aj menej zručným útočníkom vykonávať zložité kampane. Jeho ľahká a optimalizovaná architektúra zlepšuje šírenie škodlivého softvéru, zaisťuje konzistentný výkon v rôznych prostrediach macOS a pomáha obchádzať tradičné detekčné mechanizmy.

Velenie a riadenie: Zjednodušené riadenie útokov

Vstavaný ovládací panel poskytuje útočníkom štruktúrovaný prehľad o napadnutých obetiach vrátane geografických údajov a získaných informácií. Zahŕňa tiež funkciu na opätovné použitie ukradnutých relácií overovania Google, čo umožňuje neoprávnený prístup k účtu bez vyžadovania hesiel alebo priame obchádzanie dvojfaktorového overovania.

Miolab navyše podporuje nasadenie škodlivých distribučných stránok a metód útokov v štýle ClickFix. Prevádzkovatelia využívajú výhody upozornení v reálnom čase prostredníctvom Telegramu a môžu automatizovať rôzne fázy svojich kampaní, čím zvyšujú prevádzkovú efektivitu a rozsah.

Možnosti extrakcie údajov z prehliadača a kryptomien

Miolab agresívne útočí na dáta uložené v prehliadačoch a extrahuje prihlasovacie údaje a informácie súvisiace s reláciou, ktoré možno využiť na ďalšie zneužitie. Jeho dosah sa rozširuje na bežné aj špecializované prehliadače, čím sa výrazne rozširuje jeho oblasť pôsobenia.

• Medzi zhromažďované citlivé údaje prehliadača patria uložené heslá, súbory cookie, história prehliadania a údaje automatického dopĺňania, ako sú e-maily a adresy.
• Zhromažďujú sa aj artefakty autentifikácie, ako sú tokeny Google a súbory cookie Safari
  Medzi cielené prehliadače patria Chrome, Edge, Firefox, Arc, Brave, Librewolf, Opera, Opera GX, SeaMonkey, Tor Browser, Vivaldi, Waterfox, Yandex a Coc Coc
• Okrem prehliadačov sa Miolab zameriava aj na kryptomenové aktíva extrahovaním súborov ako .dat, .key a .keys z viac ako 200 rozšírení peňaženiek. Zameriava sa aj na aplikácie používané na správu hardvérových peňaženiek, čo umožňuje krádež kritických údajov na obnovu.
• Medzi cielené krypto nástroje patria Atomic Wallet, Binance, Bitcoin, DashCore, Dogecoin, Electrum, Exodus, Guarda, Litecoin, Monero, Tonkeeper a Wasabi Wallet.

• Aplikácie ako Ledger Live, Ledger Wallet a Trezor Suite sú špeciálne zamerané na extrakciu 24-slovných seed fráz.

Viac než len prehliadače: Posielanie správ a využívanie lokálnych dát

Malvér rozširuje svoj dosah aj do komunikačných a produktívnych aplikácií. Dokáže uniesť aktívne relácie z platforiem ako Telegram a Discord a poskytnúť útočníkom prístup k účtu bez prihlasovacích údajov. Taktiež kontroluje Apple Notes, bežné miesto, kde si používatelia môžu neúmyselne ukladať citlivé informácie, ako sú heslá alebo frázy na obnovenie kryptomeny.

Po dokončení zberu údajov Miolab skomprimuje ukradnuté informácie do ZIP archívu a extrahuje ich cez HTTP. Aby zakryl svoju aktivitu, zobrazí klamlivú chybovú správu systému macOS, ktorá informuje, že aplikáciu nemožno spustiť.

Dopad: Skutočné náklady na infekciu

Infekcia vírusom Miolab môže viesť k vážnym následkom. Obete môžu utrpieť finančné straty v dôsledku ukradnutej kryptomeny, neoprávneného prístupu k účtu, krádeže identity, poškodenia reputácie a možnosti ďalších infekcií škodlivým softvérom vyplývajúcich z pôvodnej kompromitácie.

Infekčný reťazec: Sociálne inžinierstvo v jeho jadre

Miolab sa pri infiltrácii systémov vo veľkej miere spolieha na podvod. Kyberzločinci ho distribuujú prostredníctvom falošných aplikácií pre macOS zabalených ako súbory s obrazmi diskov (.DMG), ktoré sú starostlivo vytvorené tak, aby pripomínali legitímny softvér. Tieto inštalátory často obsahujú presvedčivý branding, ikony a používateľské rozhrania, aby sa zvýšila dôveryhodnosť.

Po spustení malvér spustí viacstupňový proces infekcie. Zobrazí falošné inštalačné rozhranie, ktoré používateľov vyzve na obídenie bezpečnostných upozornení kliknutím pravým tlačidlom myši a výberom možnosti „Otvoriť“. Následne sa pokúsi ukončiť aplikáciu Terminál, aby obmedzil prehľad o jej činnostiach. Zobrazí sa výzva na zadanie falošného hesla pre macOS, čím sa používateľov oklame a vyzve ich na zadanie systémových prihlasovacích údajov.

Po overení hesla Miolab zhromažďuje informácie na úrovni systému vrátane hardvérových špecifikácií a konfigurácií softvéru. Pokračuje v skenovaní kľúčových adresárov, ako sú Plocha, Dokumenty a Stiahnuté súbory, pričom sa zameriava na súbory ako dokumenty, tabuľky, PDF súbory a údaje súvisiace s heslom. Počas tohto procesu sa používatelia môžu stretnúť so žiadosťami o povolenia, zatiaľ čo malvér potichu agreguje a pripravuje zhromaždené údaje na exfiltráciu.