MacSync Stealer je postao jedan od najjasnijih primjera kako... Zlonamjerni softver za macOS napravio je skok u kvalitetiOno što su nekada bili pomalo grubi napadi, koji su zahtijevali od korisnika da kopira i lijepi naredbe u Terminal, sada se transformiralo u mnogo prikriveniju prijetnju koja se maskira kao potpuno legitiman softver.
Prema raznim analizama laboratorija specijaliziranih za sigurnost Apple uređaja, Najnovija varijanta ovog kradljivca informacija koristi prednosti važećih digitalnih potpisa i službenog Appleovog procesa ovjere.Ovo mu omogućava da zaobiđe automatske filtere sistema, prevari alate poput Gatekeepera ili XProtecta i, usput rečeno, izgradi povjerenje kod korisnika koji pretpostavljaju da je sve što je ovjereno sigurno.
Kradljivac informacija prerušen u legitimnu aplikaciju
MacSync kradljivac je Kradljivac podataka za macOS specijaliziran za krađu podataka, pa čak i za... daljinsko upravljanje opremomNastala je kao evolucija prijetnje poznate kao Mac.c, ali trenutna verzija ide korak dalje: uključuje agenta razvijenog u Go jeziku s više mogućnosti od pukog krađe akreditiva.
U analiziranim kampanjama, Napad stiže do korisnika u obliku instalacijskog programa za navodnu aplikaciju za razmjenu poruka.Jedan od otkrivenih primjera je DMG datoteka slike diska pod nazivom zk-call-messenger-installer-3.9.2-lts.dmg, hostovano na domeni koja imitira komunikacijsku uslugu (zkcallnet/download).
Unutar te slike diska nalazi se aplikacija napisana u Swiftu, Appleovom programskom jeziku, potpisan s naizgled legitimnim ID-om programera i ovjereno od strane same kompanijePosjedovanjem važećeg potpisa, macOS tretira softver kao pouzdan, što smanjuje sigurnosna upozorenja i sumnjičavost prosječnog korisnika.
Čak i ako je potpisano i ovjereno, Zlonamjerna aplikacija može prikazati dodatne upute, kao što je traženje od korisnika da klikne desnim tasterom miša i odabere "Otvori" kako bi zaobišao dodatna ograničenja Gatekeepera, što je prilično uobičajen manevar u kampanjama zlonamjernog softvera za macOS.
Od ručnih metoda do gotovo automatske infekcije
Prve varijante ovog zlonamjernog softvera oslanjale su se na Tehnike tipa ClickFix ili "prevlačenje u terminal"Ovi napadi su prisiljavali žrtvu da prevuče datoteke u Terminal ili zalijepi naredbe kako bi pokrenula infekciju. Bili su to dosadni napadi, ali su barem zahtijevali svjesnu akciju korisnika.
Najnovija verzija napušta taj pristup i odlučuje se za mnogo praktičniji za napadače: proces instalacije praktično bez intervencijeKorisnik vjeruje da instalira aplikaciju za razmjenu poruka ili produktivnost, a u međuvremenu, instalacijski program u Swiftu djeluje kao «kapaljka", odnosno, kao komponenta koja preuzima i pokreće stvarni zlonamjerni sadržaj.
Kada se pokrene na Macu, Softver prvo skenira okruženjeIzmeđu ostalog, provjerite da li postoje internet konekcija dostupnaValidira kontekst izvršenja i osigurava da su ispunjeni minimalni uslovi za nastavak. Tek kada je sve u redu, kontaktira udaljeni server pod kontrolom napadača.
Sa tog servera se preuzimaju kodirani skript i ostali moduli koji čine drugu fazu napada. Upotreba dinamičkih varijabli i suptilnih promjena u naredbama za preuzimanje — na primjer, dijeljenje uobičajenih izbora curl ili dodajte parametre kao što su --noproxy— ukazuje na jasnu namjeru poboljšanja pouzdanosti napada i, istovremeno, izbjegavanja pravila detekcije zasnovanih na poznatim obrascima.
Osim toga, kapaljka Uklanja atribute karantina i provjerava datoteke prije njihovog pokretanja.Ovi koraci su osmišljeni kako bi se izbjegli signali koji bi mogli otkriti prisustvo sumnjivog koda sigurnosnim mehanizmima ugrađenim u macOS.
Napuhane DMG slike i trikovi koji će proći nezapaženo
Još jedna karakteristika koja je privukla pažnju istraživačkih timova je veličina instalacijske datoteke. Kampanje MacSync Stealer koriste neuobičajeno velike slike diskova, oko 25,5 MB.Ova brojka se dobija uvećavanjem DMG-a PDF dokumentima ili drugim datotekama koje nemaju nikakve veze sa stvarnom aplikacijom.
Ovo punjenje služi dvostrukoj svrsi: s jedne strane, Zbog toga instalater izgleda "ozbiljnije" i profesionalnije Iz perspektive korisnika, ljudi su skloni biti manje sumnjičavi prema većim aplikacijama. S druge strane, to komplicira automatiziranu analizu jer sigurnosna rješenja moraju obraditi mnogo više irelevantnih informacija prije nego što identificiraju zlonamjerni sadržaj.
Zlonamjerni softver također obraća pažnju na vrijeme izvršavanja. U nekim primjerima uočeno je kreiranje datoteke dnevnika. UserSyncWorker.logque Omogućava kradljivcu da prati kada je posljednji put izvršeno.Ako otkrije da je već radio u posljednjem satu (oko 3.600 sekundi), zaustavlja se i "spava" do kasnije.
Ova vrsta ograničenja ili "usporavanja" smanjuje količinu sumnjivih aktivnosti u kratkom vremenu i Zbog toga je antivirusnom programu ili sistemu za nadzor teže otkriti dosljedno abnormalno ponašanje.U praksi, zlonamjerni softver se ponaša kao "uspavani agent" koji većinu vremena ostaje nezapažen.
Glavni cilj je pristup informacijama visoke vrijednosti za korisnika. MacSync Stealer traži, između ostalog, datoteku prijava.privjesak-baza-ključevagdje macOS pohranjuje lozinke i druge tajne. Da bi to postigao, može prikazati lažne prozore koji traže sistemsku lozinku odmah nakon instalacije, što, ako korisnik nije oprezan, otvara vrata masovnoj krađi akreditiva.
Appleov odgovor i trend zlonamjernog softvera za macOS
Nakon upozorenja kompanija poput Jamf Threat Labsa i drugih istraživača, Apple je opozvao certifikate za potpisivanje povezane s programerima uključenim u distribuciju MacSync Stealera.Ovo opoziv sprečava da se isti potpisi koriste za širenje novih uzoraka koji izgledaju kao pouzdani softver.
Uprkos tome, incident naglašava jednu neugodnu stvarnost: Činjenica da je zahtjev potpisan i ovjeren kod notara sama po sebi ne garantuje da je siguranProcesi pregleda i ovjere smanjuju rizike, ali nisu nepogrešivi, a napadači uče djelovati unutar tih granica.
Analitičari ukazuju na Ovaj trend postaje sve očigledniji u ekosistemu prijetnji za macOS.Sajber kriminalci imaju za cilj da prokrijumčare svoj zlonamjerni softver u izvršne datoteke koje ispunjavaju sve formalne zahtjeve kompanije Apple. Korištenjem službenih sistema povjerenja, uspijevaju se predstaviti kao legitimne aplikacije, smanjujući vjerovatnoću da budu blokirane ili izazivajući manje sumnje kod onih koji instaliraju softver.
Ova evolucija se uklapa u širi kontekst u kojem Platforme koje se tradicionalno smatraju "sigurnijim", poput macOS-a ili Linuxa, postale su prioritetne mete.Rast Mac flote u evropskim i španskim kompanijama, kao i njihovo prisustvo u kreativnim, obrazovnim i administrativnim okruženjima, znači da svaka ukradena akreditacija može imati značajnu vrijednost na crnom tržištu.
Sa svoje strane, stručnjaci insistiraju da Sigurnost se više ne može delegirati isključivo na automatske slojeve sistemaKombinacija socijalnog inženjeringa – aplikacija koje izgledaju produktivno ili za razmjenu poruka, pažljivo odabranih imena, profesionalnih web stranica – i zloupotrebe važećih certifikata prisiljava korisnike da budu izuzetno oprezni sa bilo kojim softverom preuzetim izvan službenih kanala.
Slučaj MacSync Stealer oslikava sliku u kojoj Tradicionalne barijere macOS-a su i dalje korisne, ali ostavljaju praznine koje zlonamjerni akteri uče iskorištavati.Prisustvo prenapuhanih DMG instalera, automatizacija infekcije, promjene u naredbama za preuzimanje i iskorištavanje Appleove pouzdane infrastrukture pokazuju do koje mjere je zlonamjerni softver za Mac postao profesionalan i zašto je sve važnije pažljivo pregledati šta se instalira, odakle se preuzima i koje dozvole se dodjeljuju u svakom koraku.
