Saxta Mac Clipboard Tətbiqi Yeni Parol Oğurlayan Zərərli Proqramı Təqdim Edir

Mac istifadəçiləri açıq mənbəli clipboard meneceri Maccy axtararkən, kiber təhlükəsizlik firması Jamf Threat Labs-a görə, tətbiqin saxta versiyası ilə hədəf alınırlar. Əgər uğurlu olarsa, zərərli proqram istifadəçilərin parollarını və kriptovalyuta cüzdan açarlarını oğurlaya bilər.

Cümə günü dərc olunan hesabatda, Jamf Threat Labs kampaniyanın zərərli AppleScript faylı olan Maccy.scpt-i ehtiva edən disk görüntüsünü yaymaq üçün oxşar bir veb sayt istifadə etdiyini bildirdi. Açıldıqda, fayl istifadəçilərə onu Apple-ın Script Editor-da işlətmələrini söyləyən təlimatlar göstərir, eyni zamanda zərərli kodu sənədin daha aşağı hissəsində gizlədir.

"Biz bu zərərli proqramı PamStealer adı altında izləyirik, çünki onun əsas davranışlarından biri: qurbanın giriş parolunu macOS Pluggable Authentication Modules (PAM) vasitəsilə təsdiqləməkdir," Jamf Threat Labs yazdı.

Oradan, zərərli proqram JavaScript for Automation və yerli macOS API-lərini istifadə edərək, curl və ya zsh kimi ümumi shell utilitlərindən asılı olmadan ikinci mərhələ yükünü yükləyir, bu da təhlükəsizlik alətlərinin müşahidə edə biləcəyi proseslərin sayını azaldır.

"Çox sayda oğurlayıcı ilə, biz hücumçuların istifadəçiləri zərərli tətbiqə cəlb etmək üçün Google Reklam sahəsi satın aldıqlarını gördük. Son dövrlərdə X-də zərərli reklamların yayımlandığını da müşahidə etdik," Jamf Threat Labs direktoru Jaron Bradley Decrypt-ə bildirdi. "Bu sosial mühəndislik texnikaları çox uğurlu olduğunu sübut etdi."

Hesabata görə, ikinci mərhələ Apple Silicon Mac-ları üçün hazırlanmış Rust əsaslı ikilikdir ki, özünü Finder və ya Software Update kimi gizlədir.

"Konfiqurasiyasını açıq mətndə saxlamaq əvəzinə, dropper ev sahibi haqqında bir barmaq izi əldə edir---CPU arxitekturası, yerli dil, klaviatura düzümü və vaxt zonası daxil olmaqla---və bunu şifrələnmiş, bütövlük yoxlanmış konfiqurasiyanı açmaq üçün istifadə edir, bu konfiqurasiya yük URL-sini və quraşdırma yolunu ehtiva edir," şirkət bildirdi.

Bir dəfə quraşdırıldıqdan sonra, zərərli proqram brauzer etimadnamələrini və Keychain məlumatlarını oğurlaya, clipboard məzmununu izləyə, davamlılıq qura və oğurlanmış məlumatları şifrələnmiş kommunikasiya vasitəsilə uzaq komanda və nəzarət serverinə göndərə bilər. Əgər özünün nəzərdə tutulmuş hədəfdə işlədiyini təsdiqləyə bilmir, o zaman sakitcə özünü söndürür.

Zərərli proqram həmçinin istifadəçiləri Tam Disk Girişi verməyə dəvət edən saxta Finder xəbərdarlığı göstərərək, öz girişini genişləndirməyə çalışır. Bu xəbərdarlıq infeksiyadan sonra 40 dəqiqəyə qədər görünə bilər, bu da istifadəçilərin onu ilkin yükləmə ilə əlaqələndirmə ehtimalını azaldır. Əgər təsdiq olunarsa, zərərli proqram Mail, Messages və Time Machine ehtiyatları da daxil olmaqla qorunan məlumatlara daxil ola bilər.

Bradley-ə görə, Jamf PamStealer-in təbiətdə aktiv olduğuna dair heç bir sübut müşahidə etməyib; lakin şirkət Apple-a tapıntılarını bildirdi. Apple Decrypt-in şərh tələbinə dərhal cavab vermədi.

Jamf oxşar sosial mühəndislik texnikalarının digər platformalara yayıldığını bildirir.

Keçən həftə X-dəki bir paylaşımda, şirkət DynamicLake-i tanıdan sponsorlu reklamı araşdırdığını bildirdi ki, bu da istifadəçiləri dynamicmacisland.com saytına yönləndirirdi, burada onlara Terminalı açıb quraşdırma əmri icra etmələri tapşırılırdı.

"Reklam təsdiqlənmiş X hesabı vasitəsilə təqdim edildi, bu da sosial mühəndislik üçün əlavə bir etimad qatını əlavə etdi," firma yazdı. "Yükün analizi son dövrlərdə Atomic (MacSync) Stealer variantını aşkar etdi."

Bu tapıntılar, hücumçuların zərərli proqramları qanuni proqram kimi gizlətmək və etibarlı inkişaf platformalarını və reklam kanallarını sui-istifadə etməyə getdikcə daha çox meyl etdikləri bir dövrdə baş verir. Son dövrlərdəki kampaniyalar arasında, Rust əsaslı infostealer-i yaymadan əvvəl Hugging Face-in trend layihələrinin zirvəsinə çatmış saxta OpenAI anbarı, GitHub-un təxminən 3,800 daxili anbarını aşkar etdiyi zərərli Visual Studio Code uzantısı və OpenAI və Mistral AI kimi AI şirkətləri tərəfindən istifadə olunan inkişaf alətlərini hədəf alan Shai-Hulud proqram təminatı təchizat zənciri kampaniyası var.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.