Miolab Stealer

Miolab, även känt som Nova, är en avancerad informationsstöld som är specifikt utformad för att rikta in sig på macOS-användare. Den distribueras via hackerforum under Malware-as-a-Service (MaaS)-modellen och ger cyberbrottslingar tillgång till en kraftfull verktygslåda utan att kräva djupgående teknisk expertis. Skadlig programvara kan extrahera känsliga data från kryptovalutaplånbokstillägg, webbläsare och olika hanteringsprogram, samtidigt som den samlar in filer direkt från komprometterade system. Omedelbar borttagning är avgörande vid upptäckt för att minimera skador.

Utformad för effektivitet, byggd för undvikande

Miolab är inte en grundläggande stöldangripare; den integrerar en centraliserad kontrollpanel och attackhanteringsverktyg som avsevärt höjer dess hotnivå. Denna infrastruktur gör det möjligt för även lågkvalificerade angripare att genomföra komplexa kampanjer. Dess lätta och optimerade arkitektur förbättrar spridningen, säkerställer konsekvent prestanda i olika macOS-miljöer och hjälper till att kringgå traditionella detekteringsmekanismer.

Kommando och kontroll: Förenklad attackhantering

Den inbyggda kontrollpanelen ger angripare en strukturerad översikt över komprometterade offer, inklusive geografiska data och insamlad information. Den inkluderar också funktioner för att återanvända stulna Google-autentiseringssessioner, vilket möjliggör obehörig kontoåtkomst utan att kräva lösenord eller att tvåfaktorsautentisering kringgås direkt.

Dessutom stöder Miolab distribution av skadliga distributionssidor och attackmetoder i ClickFix-stil. Operatörer drar nytta av realtidsmeddelanden via Telegram och kan automatisera olika steg i sina kampanjer, vilket ökar den operativa effektiviteten och skalan.

Funktioner för utvinning av webbläsar- och kryptovalutadata

Miolab riktar aggressivt in sig på webbläsarlagrad data och extraherar inloggningsuppgifter och sessionsrelaterad information som kan utnyttjas för ytterligare intrång. Dess räckvidd sträcker sig över både vanliga och nischade webbläsare, vilket avsevärt breddar dess påverkansyta.

• Känslig webbläsardata som samlas in inkluderar sparade lösenord, cookies, webbhistorik och autofyllningsuppgifter som e-postadresser och adresser
• Autentiseringsartefakter som Google-tokens och Safari-cookies samlas också in.
  Riktade webbläsare inkluderar Chrome, Edge, Firefox, Arc, Brave, Librewolf, Opera, Opera GX, SeaMonkey, Tor Browser, Vivaldi, Waterfox, Yandex och Coc Coc.
• Utöver webbläsare fokuserar Miolab starkt på kryptovalutatillgångar genom att extrahera filer som .dat, .key och .keys från över 200 plånbokstillägg. Det riktar sig även mot applikationer som används för att hantera hårdvaruplånböcker, vilket möjliggör stöld av kritisk återställningsdata.

Bortom webbläsare: Meddelanden och lokal datautnyttjande

Skadlig programvara utvidgar sin räckvidd till kommunikations- och produktivitetsapplikationer. Den kan kapa aktiva sessioner från plattformar som Telegram och Discord, vilket ger angripare kontoåtkomst utan inloggningsuppgifter. Den inspekterar också Apple Notes, en vanlig plats där användare oavsiktligt kan lagra känslig information som lösenord eller återställningsfraser för kryptovaluta.

När datainsamlingen är klar komprimerar Miolab den stulna informationen till ett ZIP-arkiv och exfiltrerar det via HTTP. För att dölja sin aktivitet visar det ett vilseledande macOS-felmeddelande som indikerar att applikationen inte kan köras.

Effekt: Den verkliga kostnaden för infektion

En Miolab-infektion kan leda till allvarliga konsekvenser. Offren kan drabbas av ekonomiska förluster på grund av stulen kryptovaluta, obehörig åtkomst till konton, identitetsstöld, skadat rykte och risken för ytterligare skadlig kodinfektion till följd av den initiala komprometten.

Infektionskedjan: Social ingenjörskonst i grunden

Miolab förlitar sig i hög grad på bedrägeri för att infiltrera system. Cyberbrottslingar distribuerar det via falska macOS-applikationer förpackade som diskavbildningsfiler (.DMG), noggrant utformade för att likna legitim programvara. Dessa installationsprogram har ofta övertygande varumärkesbyggande, ikoner och användargränssnitt för att öka trovärdigheten.

När den skadliga programvaran har körts initierar den en infektionsprocess i flera steg. Den presenterar ett falskt installationsgränssnitt som uppmanar användare att kringgå säkerhetsvarningar genom att högerklicka och välja "Öppna". Den försöker sedan avsluta Terminal-applikationen för att begränsa insynen i dess handlingar. En förfalskad macOS-lösenordsfråga visas, vilket lurar användare att ange sina systemuppgifter.

Efter att lösenordet har validerats samlar Miolab in information på systemnivå, inklusive hårdvaruspecifikationer och programkonfigurationer. Den fortsätter att skanna viktiga kataloger som Skrivbord, Dokument och Nedladdningar, med inriktning på filer som dokument, kalkylblad, PDF-filer och lösenordsrelaterad data. Under denna process kan användare stöta på behörighetsförfrågningar, medan skadlig programvara i tysthet aggregerar och förbereder den insamlade informationen för exfiltrering.