Le Esche ClickFix di macOS Distribuiscono un AppleScript Stealer e un RAT Persistente

SOC Prime Team

Segui

Le Esche ClickFix di macOS Distribuiscono un AppleScript Stealer e un RAT Persistente

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riepilogo

Un attore di minacce di lingua russa sta utilizzando una campagna di ingegneria sociale ClickFix per distribuire un’infezione malware a due stadi su macOS. L’attacco inizia con una catena di esecuzione senza file lanciata tramite comandi terminali e consegna uno stealer di informazioni basato su AppleScript chiamato Meow (DEBUG) insieme a un trojan di accesso remoto persistente. Il malware prende di mira portafogli di criptovaluta, credenziali del browser e dati delle sessioni di messaggistica, eseguendo anche l’iniezione di codice nei portafogli desktop.

Indagine

Netskope Threat Labs ha identificato una versione aggiornata della campagna il 31 maggio 2026, mostrando un passaggio da un semplice stealer a un RAT più capace. La loro analisi ha rivelato un flusso di infezione sofisticato senza file, una logica di geofencing progettata per evitare vittime di lingua russa e una ri-firma ad hoc usata per bypassare le protezioni macOS Gatekeeper. I ricercatori hanno anche collegato la campagna a 25 domini esca di breve durata che condividevano le stesse informazioni di contatto del registrar.

Mitigazione

I difensori dovrebbero dare priorità al blocco dei domini esca e monitorare i comandi terminali sospetti che coinvolgono curl and osascript. Le organizzazioni dovrebbero applicare controlli più severi sull’accesso al terminale e osservare eventuali modifiche non autorizzate ai pacchetti delle applicazioni per portafogli di criptovaluta. La rilevazione basata sull’host può anche concentrarsi sul plist di persistenza com.apple.accountsd e il /tmp/shub_ schema di staging.

Risposta

Se questa attività viene rilevata, isolare immediatamente l’host macOS interessato per fermare ulteriori furti di dati o potenziali spostamenti laterali. Tutti i portafogli di criptovaluta per desktop installati devono essere trattati come compromessi e reinstallati da fonti fidate. Gli investigatori dovrebbero anche eseguire una revisione forense dei LaunchDaemons e LaunchAgents per voci non autorizzate, con particolare attenzione a com.apple.accountsd.

"graph TB %% Class Definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef persistence fill:#99ff99 classDef exfiltration fill:#ffff99 %% Accesso iniziale ed esecuzione attack_drive_by["Azione – Compromissione drive-by Le vittime visitano domini esca malevoli come filesapphirecanvas.sbs o filemintcastle.sbs che si spacciano per utilità macOS o repository GitHub."] class attack_drive_by action attack_user_exec_copy["Azione – Esecuzione Utente: Copia e Incolla Malevolo Vittime di ingegneria sociale che copiano comandi da siti falsi nel Terminale macOS."] class attack_user_exec_copy action attack_obfuscation["Azione – File o Informazioni Offuscati: Payloads Incorporati Usa gzip compresso e encoded in base64 heredoc per eseguire un caricatore di stadio 1 in memoria."] class attack_obfuscation action %% Logica del caricatore e Protezioni loader_stage1["Processo – Caricatore Residente in Memoria Esegue tramite catena di comandi offuscata per evitare impronte su disco."] class loader_stage1 tool guardrail_geofence["Azione – Protezione Esecuzione: Esclusione Reciproca Controlla il layout della tastiera macOS per evitare utenti di lingua russa tramite logica di geofencing."] class guardrail_geofence action loader_reflective["Azione – Caricamento Riflessivo del Codice Recupera il secondo stadio di AppleScript tramite curl e pipe direttamente nella memoria di osascript."] class loader_reflective action %% Furto di Payload e Credenziali malware_meow["Malware – Payload Meow Payload residente in memoria attivo dopo il caricamento riflessivo."] class malware_meow malware attack_gui_capture["Azione – Cattura Input: Cattura Input GUI Utilizza una finestra di Preferenze di Sistema spoofata per raccogliere le password di accesso utente."] class attack_gui_capture action attack_securityd["Azione – Credenziali da Archivi di Password: Memoria Securityd Sblocca la chiave macOS per estrarre chiavi di Archiviazione Sicura usando password raccolte."] class attack_securityd action %% Furto di Dati ed Esfiltrazione attack_browser_discovery["Azione – Scoperta Informazioni Browser Scansiona i dati del browser su Chrome, Safari e Firefox."] class attack_browser_discovery action attack_session_steal["Azione – Furto Cookie di Sessione Web Esfiltra i cookie di sessione per mantenere l’accesso non autorizzato."] class attack_session_steal exfiltration attack_crypto_theft["Azione – Furto Finanziario Prende di mira i portafogli di criptovaluta incluse estensioni MetaMask e app desktop come Exodus e Ledger."] class attack_crypto_theft exfiltration %% Persistenza e C2 persistence_launch["Persistenza – LaunchAgent o LaunchDaemon Crea un meccanismo di persistenza camuffato come com.apple.accountsd."] class persistence_launch persistence c2_beaconing["Azione – Comando e Controllo Stabilisce un loop di beaconing a 60 secondi con Risoluzione Dinamica per l’esecuzione di codice arbitrario."] class c2_beaconing tool %% Connessioni attack_drive_by –>|porta_a| attack_user_exec_copy attack_user_exec_copy –>|attiva| attack_obfuscation attack_obfuscation –>|esegue| loader_stage1 loader_stage1 –>|esegue| guardrail_geofence guardrail_geofence –>|attiva| loader_reflective loader_reflective –>|carica| malware_meow malware_meow –>|esegue| attack_gui_capture attack_gui_capture –>|facilita| attack_securityd attack_securityd –>|porta_a| attack_browser_discovery attack_browser_discovery –>|porta_a| attack_session_steal attack_browser_discovery –>|porta_a| attack_crypto_theft malware_meow –>|stabilisce| persistence_launch malware_meow –>|comunica_con| c2_beaconing "

Flusso di Attacco

Narrazione & Comandi dell’Attacco: Un avversario ha ottenuto accesso iniziale tramite un sito web malevolo. Eseguono uno script AppleScript su macOS senza file per bypassare la scansione basata su file. L’obiettivo dello script è scaricare un payload secondario falsificando un User-Agent legittimo del browser Chrome per eludere l’ispezione di rete di base e quindi terminare immediatamente qualsiasi applicazione di portafoglio di criptovaluta in esecuzione per impedire all’utente di mettere in sicurezza i propri fondi. L’attaccante usa osascript per chiamare curl con flag specifici e kill -9 per eseguire queste azioni.

Script di Test di Regressione:

#!/bin/bash
# Simulazione di Stealer su macOS Senza File

echo "[+] Avvio Simulazione: Stealer macOS Senza File"

# Step 1: Simula il recupero del payload tramite curl via osascript (Attiva selection_curl_ua)
echo "[+] Esecuzione Fase 1: Curl Falsificato tramite osascript..."
osascript -e 'do shell script "curl -k -s --max-time 30 -H "User-Agent: Mozilla/5.0" http://localhost:8080/payload"' 2>/dev/null &

# Attende un momento per la creazione del processo
sleep 2

# Step 2: Simula la terminazione del processo (Attiva selection_kill)
# Usato un processo fittizio per kill così non interrompiamo il sistema
echo "[+] Esecuzione Fase 2: Terminazione Processo tramite osascript..."
sleep 1
osascript -e 'do shell script "kill -9 $$"' # Nota: Questo uccide la subshell corrente, simulando l'intento

# Nota: Per una simulazione più pulita che mima un vero obiettivo:
# sleep 1 && sleep 1 & 
# osascript -e 'do shell script "kill -9 $!"'

echo "[+] Comandi di Simulazione Inviati."

Comandi di Pulizia:

# Nessun file è stato creato dallo script, ma ci assicuriamo che non esistano processi in background residui.
killall osascript 2>/dev/null
echo "[+] Pulizia Completa."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis