Компанията LastPass предупреди своите потребители за нова вълна от атаки, насочени срещу macOS системи. Киберпрестъпниците създават фалшиви GitHub хранилища, които имитират популярни приложения, за да разпространяват AMOS (Atomic Stealer) – зловреден софтуер под формата на услуга (MaaS), който се предлага срещу $1000 на месец.

AMOS обичайно е насочен към кражба на чувствителни данни от заразени устройства, а последните му версии включват и бекдор компонент, който позволява на атакуващите да поддържат скрит и постоянен достъп до системата.

Засегнати приложения и платформи

Кампанията не засяга само LastPass. Фалшивите хранилища в GitHub имитират над 100 различни софтуерни решения, сред които:

• 1Password

• Dropbox

• Confluence

• Robinhood

• Notion

• Gemini

• Adobe After Effects

• Thunderbird

• SentinelOne

Как работи атаката

1. SEO манипулация – чрез оптимизация за търсачки (Google и Bing) фалшивите страници се изкачват високо в резултатите.

2. Фалшиви GitHub акаунти – създават се множество хранилища, за да се избегне бързо премахване.

3. ClickFix техника – на страницата се появява бутон за изтегляне, който пренасочва жертвата към втори сайт. Там тя е подканена да постави команда в Terminal, без да знае какво всъщност прави.

4. AMOS инфекция – командата извършва curl заявка към скрит URL, сваля зловреден скрипт (install.sh) в /tmp директорията и стартира заразяването.

Опасности от ClickFix атаките

ClickFix атаките разчитат на това, че потребителят не разбира какво прави поставената в Terminal команда. Това отваря врата за:

• кражба на пароли и криптопортфейли

• изтичане на лични и бизнес данни

• инсталиране на бекдори за дългосрочен достъп

Как да се предпазим

• Изтегляйте софтуер само от официалните сайтове на доставчиците.

• Не се доверявайте на GitHub хранилища, които не са потвърдени от общността или производителя.

• Не стартирайте команди в Terminal, ако не знаете тяхното действие.

• Проверявайте за официални macOS версии – ако такива липсват, вероятно предлаганата „порт“ версия е фалшива.

 Кампанията срещу macOS потребители с AMOS показва колко лесно злонамерени лица могат да злоупотребят с доверени платформи като GitHub. Основната защита остава внимателното поведение на потребителите и използването само на официални източници за изтегляне на софтуер.