En ny ClickFix-kampanj riktar sig mot macOS-användare med skadlig kod som stjäl kryptovaluta, webbläsarlösenord, data från Apple Keychain och cachade inloggningsuppgifter.
Huntress upptäckte hotet när företaget hanterade en ClickFix-incident. Forskarna uppger att den Go-baserade skadliga koden kan fånga upp kryptovalutatransaktioner och omdirigera pengar innan offren godkänner sina transaktioner.
Till skillnad från många verktyg som tömmer kryptoplånböcker behöver denna macOS-kryptodränerare inte tömma hela kontot. Angriparna kan konfigurera den för att omdirigera endast en del av en transaktion eller beräkna hur stort värde som ska stjälas.
ClickFix-lockbete uppmanar offer att använda Terminal
Attacken börjar med ett e-postmeddelande som leder målet till en skadlig webbsida. Där uppmanas användaren att öppna Terminal och köra ett kommando.
ClickFix-kampanjer använder ofta denna taktik. I stället för att utnyttja en sårbarhet i programvara övertygar angriparna offren om att själva kopiera och köra kommandon.
Kommandot laddar ner ett Bash-skript som samlar in grundläggande systeminformation, inklusive datorns processor och minne. Därefter hämtar det en Mach-O-baserad skadlig kod som matchar Mac-datorns processorarkitektur.
Skriptet identifierar sedan det konto som för närvarande är inloggat och skapar en katalog med ett namn som liknar trustd. Trustd är en legitim macOS-process som validerar kryptografiska certifikat och kodsignaturer.
Laddaren kopierar sin nyttolast till katalogen under namnet com.apple.verified. Den tar också bort karantänattributet som macOS normalt lägger till på nedladdade filer. På så sätt försöker den skadliga koden förhindra att Gatekeeper visar en säkerhetsvarning när offret kör filen.
Skadlig kod stjäl inloggningsuppgifter och riktar in sig på plånböcker
Huntress uppger att den skadliga koden etablerar beständig åtkomst och försöker få högre behörigheter genom att visa en falsk macOS-felruta. Meddelandet ber offret att ange ett administratörslösenord.
När programmet fått åtkomst söker det igenom enheten efter filer som innehåller inloggningsuppgifter. Det riktar särskilt in sig på webbläsarnas lösenordsdatabaser, information från Apple Keychain och autentiseringsdata som lagras i webbläsarcookies.
Den skadliga koden innehåller också funktioner som ändrar kryptovalutatransaktioner innan användaren signerar dem. Den kan omdirigera överföringar av Bitcoin, Litecoin, Dogecoin, Monero, Ethereum och XRP till plånböcker som kontrolleras av angriparna.
Forskarna upptäckte att verktyget kan beräkna värdet av en viss procentandel av offrets tillgångar i plånboken. Den möjligheten ger operatörerna större flexibilitet än en typisk kryptodränerare, som ofta försöker stjäla alla tillgängliga tillgångar.
En mindre eller procentbaserad stöld kan dra till sig mindre uppmärksamhet och göra den bedrägliga transaktionen svårare för offret att upptäcka direkt.
Huntress kopplar infrastrukturen till sanktionerad leverantör
Enligt Huntress kommunicerar den skadliga koden med delade IP-adresser i Autonomous System 210644.
Forskarna uppger att det ryska företaget Aeza Group driver nätverket. USA och Storbritannien har infört sanktioner mot företaget och flera närstående personer för att de påstås ha tillhandahållit så kallade bulletproof hosting-tjänster till ransomwaregrupper.
Mac-användare bör se oväntade instruktioner om att köra Terminal-kommandon som en tydlig varningssignal. Legitima företag ber normalt inte kunder att klistra in kommandon i Terminal för att lösa ett problem, verifiera ett konto eller genomföra en säkerhetskontroll.
Att hålla macOS uppdaterat, använda starka kontoskydd och noggrant granska varje kryptovalutatransaktion innan den signeras kan minska risken från denna macOS-kryptodränerare.
0 svar till ”ClickFix-attack sprider macOS-kryptodränerare som stjäl pengar från plånböcker”