ClickFix-angreb spreder macOS-kryptodræner, der stjæler midler fra wallets

En ny ClickFix-kampagne målretter macOS-brugere med malware, der stjæler kryptovaluta, browseradgangskoder, data fra Apple Keychain og cachede loginoplysninger.

Huntress opdagede truslen under håndteringen af en ClickFix-hændelse. Forskerne siger, at den Go-baserede malware kan opsnappe kryptovalutatransaktioner og omdirigere midler, før ofrene godkender deres transaktioner.

I modsætning til mange værktøjer, der tømmer kryptowallets, behøver denne macOS-kryptodræner ikke altid at tømme hele kontoen. Angriberne kan konfigurere den til kun at omdirigere en del af en transaktion eller beregne, hvor stor en værdi der skal stjæles.

ClickFix-lokkemiddel beder ofre bruge Terminal

Angrebet begynder med en e-mail, der sender målet til en ondsindet webside. Siden beder brugeren om at åbne Terminal og køre en kommando.

ClickFix-kampagner benytter ofte denne taktik. I stedet for at udnytte en softwaresårbarhed overtaler angriberne ofrene til selv at kopiere og køre kommandoer.

Kommandoen downloader et Bash-script, der indsamler grundlæggende systemoplysninger, herunder computerens processor og hukommelse. Derefter henter det en Mach-O-malware, der passer til Mac-computerens processorarkitektur.

Scriptet identificerer derefter den konto, der aktuelt er logget ind, og opretter en mappe med et navn, der minder om trustd. Trustd er en legitim macOS-proces, som validerer kryptografiske certifikater og kodesignaturer.

Loaderen kopierer sin payload til denne mappe under navnet com.apple.verified. Den fjerner også den karantæneattribut, som macOS normalt tilføjer til downloadede filer. På den måde forsøger malwaren at forhindre Gatekeeper i at vise en sikkerhedsadvarsel, når offeret kører filen.

Malware stjæler loginoplysninger og målretter wallets

Huntress siger, at malwaren etablerer vedvarende adgang og forsøger at opnå højere rettigheder ved at vise en falsk macOS-fejlmeddelelse. Meddelelsen beder offeret om at indtaste en administratoradgangskode.

Når malwaren har fået adgang, gennemsøger den enheden efter filer relateret til loginoplysninger. Den målretter specifikt browsernes adgangskodedatabaser, oplysninger fra Apple Keychain og godkendelsesdata, der er gemt i browsercookies.

Malwaren indeholder også kode, der ændrer kryptovalutatransaktioner, før brugeren signerer dem. Den kan omdirigere overførsler af Bitcoin, Litecoin, Dogecoin, Monero, Ethereum og XRP til wallets, som kontrolleres af angriberne.

Forskerne fandt ud af, at værktøjet kan beregne værdien af en procentdel af offerets beholdning i en wallet. Denne funktion giver operatørerne større fleksibilitet end en typisk kryptodræner, som ofte forsøger at stjæle alle tilgængelige aktiver.

Et mindre eller procentbaseret tyveri kan tiltrække mindre opmærksomhed og gøre den svigagtige transaktion sværere for offeret at opdage med det samme.

Huntress forbinder infrastrukturen med sanktioneret udbyder

Ifølge Huntress kommunikerer malwaren med delte IP-adresser i Autonomous System 210644.

Forskerne siger, at det russiske selskab Aeza Group driver netværket. USA og Storbritannien har indført sanktioner mod virksomheden og flere tilknyttede personer for angiveligt at levere såkaldte bulletproof hosting-tjenester til ransomwaregrupper.

Mac-brugere bør betragte uventede instruktioner om at køre Terminal-kommandoer som et alvorligt advarselstegn. Legitimate virksomheder beder normalt ikke kunder om at indsætte kommandoer i Terminal for at løse et problem, bekræfte en konto eller gennemføre et sikkerhedstjek.

At holde macOS opdateret, bruge stærk kontobeskyttelse og kontrollere hver kryptovalutatransaktion grundigt, før den signeres, kan reducere risikoen fra denne macOS-kryptodræner.