ClickFix-angrep sprer macOS-kryptotømmer som stjeler midler fra lommebøker

En ny ClickFix-kampanje retter seg mot macOS-brukere med skadevare som stjeler kryptovaluta, nettleserpassord, data fra Apple Keychain og bufrede påloggingsopplysninger.

Huntress oppdaget trusselen under håndteringen av en ClickFix-hendelse. Forskerne sier at den Go-baserte skadevaren kan fange opp kryptovalutatransaksjoner og omdirigere midler før ofrene godkjenner transaksjonene.

I motsetning til mange verktøy som tømmer kryptolommebøker, trenger ikke denne macOS-kryptotømmeren å tømme hele kontoen. Angriperne kan konfigurere den til å omdirigere bare deler av en transaksjon eller beregne hvor mye verdi som skal stjeles.

ClickFix-lokkemiddel ber ofrene bruke Terminal

Angrepet starter med en e-post som sender målet til en ondsinnet nettside. Der blir brukeren bedt om å åpne Terminal og kjøre en kommando.

ClickFix-kampanjer bruker ofte denne taktikken. I stedet for å utnytte en sårbarhet i programvare overbeviser angriperne ofrene om å kopiere og kjøre kommandoer selv.

Kommandoen laster ned et Bash-skript som samler inn grunnleggende systeminformasjon, inkludert datamaskinens prosessor og minne. Deretter henter det en Mach-O-skadevare som passer til Mac-maskinens prosessorarkitektur.

Skriptet identifiserer så kontoen som er logget inn, og oppretter en katalog med et navn som ligner på trustd. Trustd er en legitim macOS-prosess som validerer kryptografiske sertifikater og kodesignaturer.

Lasteren kopierer nyttelasten til denne katalogen under navnet com.apple.verified. Den fjerner også karanteneattributtet som macOS vanligvis legger til på nedlastede filer. På denne måten forsøker skadevaren å hindre Gatekeeper i å vise en sikkerhetsadvarsel når offeret kjører filen.

Skadevaren stjeler påloggingsopplysninger og retter seg mot lommebøker

Huntress sier at skadevaren etablerer vedvarende tilgang og forsøker å få høyere rettigheter ved å vise en falsk macOS-feilmelding. Meldingen ber offeret om å skrive inn et administratorpassord.

Når skadevaren har fått tilgang, søker den gjennom enheten etter filer knyttet til påloggingsopplysninger. Den retter seg spesielt mot nettlesernes passorddatabaser, informasjon fra Apple Keychain og autentiseringsdata som er lagret i nettlesercookies.

Skadevaren inneholder også kode som endrer kryptovalutatransaksjoner før brukeren signerer dem. Den kan omdirigere overføringer av Bitcoin, Litecoin, Dogecoin, Monero, Ethereum og XRP til lommebøker kontrollert av angriperne.

Forskerne fant at verktøyet kan beregne verdien av en prosentandel av offerets beholdning i lommeboken. Denne funksjonen gir operatørene større fleksibilitet enn en typisk kryptotømmer, som ofte forsøker å stjele alle tilgjengelige midler.

Et mindre eller prosentbasert tyveri kan tiltrekke seg mindre oppmerksomhet og gjøre den falske transaksjonen vanskeligere for offeret å oppdage umiddelbart.

Huntress knytter infrastrukturen til sanksjonert leverandør

Ifølge Huntress kommuniserer skadevaren med delte IP-adresser i Autonomous System 210644.

Forskerne sier at det russiske selskapet Aeza Group driver nettverket. USA og Storbritannia har innført sanksjoner mot selskapet og flere tilknyttede personer for angivelig å ha levert såkalte bulletproof hosting-tjenester til løsepengevirusgrupper.

Mac-brukere bør se på uventede instruksjoner om å kjøre Terminal-kommandoer som et tydelig faresignal. Legitimate selskaper ber normalt ikke kunder om å lime inn kommandoer i Terminal for å løse et problem, bekrefte en konto eller gjennomføre en sikkerhetskontroll.

Å holde macOS oppdatert, bruke sterke kontobeskyttelser og kontrollere hver kryptovalutatransaksjon nøye før den signeres, kan redusere risikoen fra denne macOS-kryptotømmeren.