Clickfix auf macOS: AppleScript-Malwarekampagne nutzt Terminal-Eingaben zum Datenklau

Zusammenfassung

Die AppleScript-Malware-Kampagne zielt mit einer ClickFix-Technik auf macOS-Nutzer ab, indem sie sie dazu ermutigt, manuell base64-dekodierte Shell-Befehle im Terminal auszuführen. Diese Befehle rufen einen AppleScript-Stealer ab, der Browserdaten, Kryptowährungs-Wallets, lokale Dokumente und andere sensible Informationen erfasst und dann an serverseitig kontrollierte Angreifer überträgt. Da kein traditionelles Binary auf die Festplatte geschrieben wird, ist die Aktivität schwieriger mit klassischer AV zu erkennen. Die Operation basiert auf mehreren täuschenden Domains und ungewöhnlichen Service-Ports für den Command-and-Control-Verkehr.

Analyse der AppleScript-Kampagne

Forscher untersuchten die Phishing-Websites, das für die Bereitstellung der Nutzlast verantwortliche JavaScript und das zur Sammlung und Exfiltration verwendete AppleScript. Die Infrastrukturkartierung entdeckte Domains wie cryptoinfo-news.com and odyssey1.to, zusammen mit Diensten, die über die Ports 22, 80, 3333 und 5201 verfügbar sind. Die AppleScript-Nutzlast verpackt gestohlene Daten in eine ZIP-Datei unter /tmp/out.zip und verwendet curl, um sie an einen entfernten Endpunkt hochzuladen.

Minderung

Verteidiger sollten identifizierte bösartige Domains blockieren und ausgehende Verbindungen über ungewöhnliche Ports beschränken. Stärken Sie macOS-Systeme, indem Sie die Verwendung von AppleScript und Shell einschränken, nach base64-d | bash Ausführungsmustern überwachen und strenge CORS-Kontrollen in Web-Umgebungen anwenden. Sicherheitsschulungen sollten Phishing-Seiten hervorheben, die Benutzer dazu auffordern, Terminal-Befehle zu kopieren und auszuführen.

Reaktion

Wenn diese Indikatormuster erkannt werden, benachrichtigen Sie das SOC, isolieren Sie das betroffene System und erfassen Sie temporäre Artefakte und die Shell-Historie. Führen Sie eine forensische Überprüfung des /tmp -Verzeichnisses durch, isolieren Sie verdächtige ZIP-Archive und korrelieren Sie den ausgehenden Verkehr mit den bekannten C2-Servern und -Ports, die in der Kampagne identifiziert wurden.

Simulationsdurchführung

Voraussetzung: Die Telemetrie & Baseline Pre-Flight Check muss bestanden haben.

Begründung: In diesem Abschnitt werden die präzise Ausführung der Angriffstechnik (TTP) erläutert, die zur Auslösung der Erkennungsregel entwickelt wurde. Die Befehle und Erzählungen spiegeln direkt die identifizierten TTPs wider und sollen die genaue Telemetrie erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffserzählung & Befehle:

  1. Der Angreifer sendet eine Phishing-E-Mail mit der Einzeiler:

     echo "cHJpbnQoJ0NhdXNlJykK" | base64 -d | bash

     (Die Nutzlast dekodiert zuprint('Cause')– ein Platzhalter für jedes bösartige Bash-Skript.)

  2. Ein ahnungsloser Benutzer kopiert die Zeile und fügt sie in das Terminal ein.

  3. macOS erstellt einenbash-Prozess, dessen Befehlszeilegenaudem Muster entsprichtbase64 -d | bash, wodurch die Sigma-Regelauswahl.

  4. erfüllt wird. Der Bash-Interpreter führt die dekodierte Nutzlast aus, wodurch die bösartige Aktion abgeschlossen wird (z.B. Aufbau einer Reverse-Shell, Herunterladen zusätzlicher Tools).

• Regressionstest-Skript: Das unten stehende Skript automatisiert die Schritte 1-3 und reproduziert die notwendige Telemetrie zur Validierung.

  #!/bin/bash
  # -------------------------------------------------
  # Simulate macOS Base64‑decode‑and‑Bash execution
  # -------------------------------------------------
  # Base64‑encoded payload (prints “Compromise”)
  PAYLOAD="cHJpbnQoJ0NvbXByb21pc2UnKQ=="
  
  # Execute the one‑liner exactly as an attacker would
  echo "$PAYLOAD" | base64 -d | bash
  
  # Exit with the status of the Bash command
  exit $?

• Bereinigungskommandos: Entfernen Sie alle temporären Dateien oder Hintergrundprozesse, die durch die Nutzlast erstellt worden sein könnten (falls erforderlich, mit payload-spezifischer Bereinigung ersetzen).

  #!/bin/bash
  # Einfache Bereinigung – sicherstellen, dass keine streunenden Bash-Prozesse übrig bleiben
  pkill -f "base64 -d | bash" 2>/dev/null
  # Wenn die Nutzlast Dateien erstellt hat, löschen Sie sie (Beispiel-Platzhalter)
  rm -f /tmp/malicious_script.sh 2>/dev/null