Hajdut i Shamos
Shamos është një program keqdashës për macOS i identifikuar së fundmi, i projektuar posaçërisht për të kompromentuar pajisjet macOS. Aktiv që të paktën nga vera e vitit 2025, ky program keqdashës operohet si një ofertë Malware-as-a-Service (MaaS) nga një grup i njohur si COOKIE SPIDER. Vektori i tij kryesor i shpërndarjes ka qenë mashtrimi ClickFix, një teknikë gjithnjë e më popullore midis kriminelëve kibernetikë që synojnë përdoruesit e macOS. Shamos është identifikuar si një variant i kërcënimit celular AMOS (Atomic) Stealer .
Tabela e Përmbajtjes
Rruga fillestare e infeksionit
Shamos infiltron kryesisht sistemet përmes mashtrimeve ClickFix, të cilat i mashtrojnë përdoruesit që të kopjojnë dhe ngjisin komanda keqdashëse në Terminal. Ky veprim shkakton shkarkimin e një skripti Bash që anashkalon kontrollet e Gatekeeper, vjedh kredencialet e hyrjes dhe në fund të fundit vendos një skedar Mach-O që përmban Shamos. Duke shfrytëzuar besimin e përdoruesit në këshillat për zgjidhjen e problemeve, kjo metodë rrit ndjeshëm shkallën e infeksionit.
Fshehtësia dhe mbledhja e të dhënave
Pasi ekzekutohet, Shamos përdor mekanizma anti-analizë për të zbuluar nëse po funksionon në një makinë virtuale apo sandbox. Nëse përcakton se mjedisi është i vërtetë, fillon një mbledhje të gjerë të dhënash. Malware kërkon skedarë të lidhur me fjalëkalime, portofolet e kriptomonedhave dhe të dhëna të ndjeshme të sistemit.
Fushat kryesore të interesit përfshijnë:
Qasja në zinxhirin e çelësave : Programi vendas i Apple për ruajtjen e fjalëkalimeve.
Aplikacioni i Shënimeve : Shpesh keqpërdoret nga përdoruesit për ruajtjen e të dhënave private.
Shfletuesit e Uebit : Një burim i pasur i historikut të shfletimit, cookie-ve, hyrjeve të plotësimit automatik, kredencialeve të ruajtura dhe detajeve të pagesës.
Zgjerimi përtej vjedhjes së të dhënave
Shamos nuk kufizohet vetëm në mbledhjen e kredencialeve. Është vërejtur shkarkimi i ngarkesave shtesë, duke përfshirë:
- Një modul botnet për shfrytëzim të rrjetit në shkallë të gjerë.
- Një aplikacion portofoli i rremë Ledger Live, i projektuar për të mashtruar përdoruesit e kriptomonedhave.
Aftësi të tilla e bëjnë Shamos një portë hyrëse për infeksione më të gjera, duke përfshirë ransomware, trojanët, kriptomonedhat dhe kërcënime të tjera me ndikim të lartë.
Synimi Gjeografik dhe Përjashtimet
Fushatat që shpërndajnë Shamos kanë synuar kryesisht përdoruesit në Shtetet e Bashkuara, Mbretërinë e Bashkuar, Kanada, Kinë, Kolumbi, Itali, Japoni dhe Meksikë. Një përjashtim i dukshëm është Rusia, e cila përputhet me praktikën e zakonshme të operatorëve MaaS me bazë në Rusi që shmangin objektivat lokalë.
Mashtrimet ClickFix në Veprim
Themeli i fushatave të Shamos qëndron në reklamat keqdashëse dhe helmimin nga SEO, të cilat i çojnë viktimat në faqe interneti mashtruese të maskuara si faqe legjitime mbështetjeje për Mac. Këto faqe interneti përdorin markë autentike për të ndërtuar besim përpara se t'u japin udhëzime përdoruesve për të ekzekutuar komanda të dëmshme.
Për më tepër, kriminelët kibernetikë kanë përdorur depo mashtruese GitHub, duke ofruar shkarkime falas për mjete të njohura për Mac, të tilla si iTerm2, softuer CAD, redaktues videosh, mjete të inteligjencës artificiale dhe programe optimizimi.
Metoda të tjera të mundshme të shpërndarjes
Ndërsa mashtrimet me ClickFix mbeten mekanizmi kryesor i shpërndarjes, Shamos mund të përhapet edhe përmes teknikave më tradicionale të shpërndarjes së malware-it, duke përfshirë:
Phishing dhe Inxhinieri Sociale : Lidhje ose bashkëngjitje keqdashëse përmes emailit, mesazheve private ose mesazheve të drejtpërdrejta.
Shkarkime nga makina dhe reklama keqdashëse : Ngarkesa të fshehura në faqe të kompromentuara ose keqdashëse.
Kanale të Dyshimta Shpërndarjeje : Softuer pirat, çarje, softuer falas të palëve të treta dhe rrjete P2P.
Përditësime të rreme : Kërkesa mashtruese që i nxisin përdoruesit të instalojnë përditësime të rreme sigurie ose të sistemit.
Vetëpërhapja : Disa variante të programeve keqdashëse përhapen në mënyrë autonome përmes rrjeteve lokale ose disqeve të jashtme.
Në fund të fundit
Prania e Shamos në një sistem mund të çojë në ndërhyrje të rënda të privatësisë, vjedhje identiteti, humbje financiare dhe infeksione të shumëfishta përmes sulmeve të zinxhiruara. Modeli i tij MaaS siguron që ai do të mbetet i arritshëm edhe për aktorët kërcënues me aftësi të ulëta, duke e bërë atë një rrezik të vazhdueshëm për përdoruesit e macOS në të gjithë botën.
