Нападателите използват Terminal команди за скрито инсталиране на зловреден софтуер
Изследователи от Unit 42 на Palo Alto Networks разкриха нова кампания, насочена към потребители на macOS, която използва техниката ClickFix за разпространение на инфостийлъра Atomic macOS Stealer (AMOS). Атаката започва с фалшива CAPTCHA страница, която подканва жертвата да отвори Terminal и да постави предоставена команда за „потвърждение“.
След изпълнението ѝ системата автоматично изтегля и монтира DMG файл, съдържащ зловредно приложение, без потребителят да забележи подозрителна активност.
Atomic Stealer краде пароли, криптопортфейли и лични файлове
Командата използва вградения инструмент hdiutil, за да монтира дисковия образ скрито, без той да се появява във Finder. След това автоматично се стартира приложение, което принадлежи към семейството Atomic macOS Stealer (AMOS).
Зловредният код е способен да събира огромно количество чувствителни данни от заразеното устройство. Сред целите му са Google Chrome, Microsoft Edge, Brave, Opera, Arc, Vivaldi и други браузъри, от които се извличат пароли, бисквитки, информация за банкови карти и данни за автоматично попълване.
Освен това AMOS атакува Firefox-базирани браузъри, Apple Keychain, Safari, Telegram Desktop, Discord и Apple Notes.
Специално внимание е насочено към криптопортфейли като Exodus, Electrum, Atomic Wallet, Wasabi Wallet, Binance Wallet и TonKeeper.
Подменят се дори Ledger Live и Trezor Suite
Изследователите са открили, че след заразяването инфостийлърът може да замени легитимните приложения Ledger Live и Trezor Suite със зловредни версии, което създава допълнителен риск от кражба на криптовалути.
Събраните данни се архивират в ZIP файл и се изпращат към инфраструктурата на нападателите.
Експертите предупреждават, че потребителите никога не трябва да изпълняват команди в Terminal, предоставени от уебсайтове като част от CAPTCHA проверки, корекции на браузъра или други предполагаеми диагностични процедури. Ако предназначението на дадена команда не е напълно ясно, тя не бива да бъде стартирана.
