انقر فوق قفل السارق، وهو برنامج جديد لسرقة معلومات نظام التشغيل macOS، يستجيب لرفض الضحية عن طريق إيقاف تطبيقاته بشكل متكرر حتى يقوم بتسليم كلمة مرور تسجيل الدخول. يصل كأمر تم لصقه في الوحدة الطرفية، ويطلب كلمة المرور خلف مربع حوار نظام مزيف، وعندما يقوم الضحية بإلغاء الأمر، يقوم بتثبيت اثنين من LaunchAgents ويخرج بهدوء.
عند تسجيل الدخول التالي، يبدأ Finder وDock وSpotlight وTerminal وActivity Monitor والمتصفحات الرئيسية في الموت كل 210 مللي ثانية، لمدة تصل إلى 83 ساعة، مع ترك مربع كلمة مرور واحد على سطح المكتب الميت. اكتبه، وسيقوم الجهاز بالتخلي عن Keychain، وبيانات اعتماد المتصفح، ومحافظ التشفير.
يُحصي القياس عن بعد الخاص بـ Group-IB ما لا يقل عن 100 هدف في 33 دولة منذ شهر مايو، أكثر من نصفها في أوروبا. يفترض محللوها من خلال بنية التعليمات البرمجية أن البرامج الضارة لا تزال قيد التطوير. تم تحميل البرنامج النصي المنسق إلى VirusTotal في 9 يونيو، ولم يتم اكتشاف أي شيء هناك عندما قامت Group-IB بتحليله.
ولم يجد المحللون الباب الأمامي أبدًا. لديهم سلسلة الحمولة الكاملة وليس إحدى صفحات الإغراء. تحتوي قائمة IOC على ثلاثة مضيفين للحمولة النافعة مخترقة ولا يوجد نطاق جذب: تصميم الصفحة المقصودة، والنطاقات التي تخدمها، وأي شيء يحرك حركة المرور إليها كلها غير مؤكدة.
يترك التشغيل المكتمل المشغل يحتفظ بكلمة مرور تسجيل الدخول إلى نظام التشغيل macOS التي تم التحقق منها، ومفتاح AES للتخزين الآمن في Chrome، وملف ZIP مع بيانات اعتماد المتصفح وملفات تعريف الارتباط، وتخزين امتداد محفظة التشفير، وملفات محفظة سطح المكتب، وخزائن مدير كلمات المرور، وسلسلة المفاتيح، وسجل الصدفة، وبيانات اعتماد خادم FileZilla المحفوظة.
مفتاح التخزين الآمن هو الذي يدوم. فهو يقوم بتشفير كلمات المرور وملفات تعريف الارتباط المحفوظة في Chrome على القرص Login Data و Cookies يتم فك تشفيرها دون الاتصال بالإنترنت، على جهاز المهاجم، كلما وصلوا إليه. نصيحة Group-IB لأي شخص قام بتشغيل هذا: قم بإلغاء جلسات المتصفح النشطة، والتعامل مع كل كلمة مرور محفوظة، وملفات تعريف الارتباط، ومفتاح المحفظة كما لو أنها اختفت، وقم بتغييرها.
الامتثال الآن، أو الامتثال عند تسجيل الدخول التالي
المستخدم الرافض ليس حالة حافة. هم ما هو التصميم ل. قم بإلغاء مربع الحوار الأول، وسيسقط البرنامج النصي com.authirity.plist و com.chromer.plist داخل ~/Library/LaunchAgents/، ثم يغادر.
يقوم الأول بتشغيل حلقة القتل التي تبلغ مدتها 210 مللي ثانية حتى تصل كلمة المرور. يطلق الثاني حلقة القتل الخاصة به على فترات زمنية تبلغ 0.2 ثانية لمدة تصل إلى 3,000,000 ثانية، أي ما يقرب من 34.7 يومًا، بينما تستعلم عملية الخلفية عن Keychain لمفتاح التخزين الآمن في Chrome كل نصف ثانية.
يؤدي هذا الاستعلام إلى ظهور مطالبة حقيقية لنظام التشغيل macOS، وتحتفظ الحلقة بسطح المكتب كرهينة حتى توافق عليه الضحية. مراقب النشاط والمحطة الطرفية موجودان في قائمتي القتل. تؤدي الحلقة الثالثة إلى قتل NotificationCenter لمدة ست ساعات، لذلك لا يتم عرض أي تحذير من برنامج Gatekeeper. إذا كانت الوحدة الطرفية تفتقر إلى الوصول الكامل إلى القرص، يفتح المنسق إعدادات النظام في الجزء الأيسر ويرشد الضحية خلال منحه.
الواجهة الأمامية هي ClickFix. تقوم Group-IB بتقييم ذلك بثقة عالية ولم تره من قبل. يأخذ البرنامج النصي أ RAY_ID كوسيطة أولى ويتم فتحه بشعار Cloudflare CAPTCHA مزيف فوق شريط تقدم يقوم بتدوير اثني عشر سطر حالة في عشر ثوانٍ. ولا يفعل أي شيء. إنها موجودة لطمأنة الشخص الذي قام للتو بلصق أمر في المحطة.
تحت، script.sh تعطيل مقاطعات لوحة المفاتيح، وإخفاء المؤشر، وسحب أربع حمولات من موقعين مخترقين. أنبوبان مباشرة في باش. ارضين في مخبأ $HOME/.cacheb/. السؤال الناعم هو osascript مربع حوار يحمل أيقونة Apple التي تم تنزيلها واسم المستخدم الحقيقي للضحية، ويتم التحقق من كل ما يتم كتابته dscl /Local/Default -authonly أولاً، لذا فإن كلمة المرور العاملة فقط هي التي تستحق الإرسال.
تقريبا لا شيء من ذلك جديد. وقد وثقت مايكروسوفت نفس الشيء dscl التحقق من الصحة في SHub Stealer في مايو، جنبًا إلى جنب مع AMOS وMacSync في نفس الموجة من حملات macOS ClickFix. يعد Telegram exfil واستمرارية LaunchAgent نموذجًا نموذجيًا.
الباب الخلفي، goyim، ما يقرب من 80 بالمائة نسخة من البرنامج النصي للنشر العام لـ GSocket، وهي مجموعة أدوات مفتوحة المصدر للنفق من The Hacker’s Choice. مؤلفوها يطرحون gs-netcat المكون باعتباره بابًا خلفيًا عكسيًا مشفرًا ولا يحتاج إلى خادم C2 خاص به. يركب التتابع بدلا من ذلك.
تتبعت Group-IB هذه النسخة إلى مشغل الترحيل في gsnc[.]eu:67، مع سحب الملف الثنائي من gsocket.io نفسه. توجد حمولات السرقة على ثلاثة نطاقات مخترقة تتمتع بسمعة نظيفة، أحدها موقع WordPress مخترق، وتغادر الحمولة عبر ثلاثة روبوتات Telegram. لاحظت Group-IB عدم وجود بنية تحتية مخصصة للقيادة والتحكم.
على نظام التشغيل macOS، يتم الوصول إلى الملف الثنائي كـ iCloud في ~/Library/Application Support/iCloudsync وتعمل العملية كما SystemUIServerl، حرف واحد من الحرف الحقيقي.
لقد حاولت شركة Apple بالفعل إغلاق هذا الباب
تم شحن نظام التشغيل macOS 26.4 في أواخر شهر مارس. فهو يحذر عندما ترى الوحدة الطرفية نشاط لصق مشبوهًا وتحظر تمامًا أي شيء تتعرف عليه على أنه برامج ضارة معروفة، وهو تخفيف تشير إليه Microsoft كإجابة مباشرة على تسليم ClickFix.
تُظهر وثائق Apple الخاصة مقدار المساحة المتبقية: يتم تشغيل التحذير فقط إذا كنت لا تستخدم Terminal بشكل منتظم، ويأتي مزودًا بزر “لصق على أي حال”. يحتاج الحظر الصلب إلى نظام التشغيل macOS للتعرف على البرامج الضارة بالفعل.
مرت حملتان عبر تلك الغرفة في غضون أسابيع، في اتجاهين متعاكسين. قامت Jamf Threat Labs بتوثيق واحدة في أبريل تتجنب اللصق تمامًا باستخدام applescript:// عنوان URL لفتح محرر البرامج النصية مع تحميل الحمولة مسبقًا، لذلك لا يتم تفعيل عملية التحقق أبدًا. كتب Thijs Xhaflaire من Jamf أنه “عندما يُغلق باب، يجد المهاجمون بابًا آخر”. ClickLock هو الآخر. لقد احتفظ بالمعجون وصمم حول الشخص بدلاً من ذلك.
حلقة الإكراه هي الجزء الوحيد الذي لا يحتوي على قصة غلاف. لا تقوم Group-IB بالتحوط على الثواني الفرعية pkill و killall تنفجر ضد Finder وDock وSystemUIServer وNotificationCenter: “هذا السلوك فريد بالنسبة للبرامج الضارة ذات التفاعل القسري وليس له حالة استخدام مشروعة.”
بقية مجموعة الإشارة:
security find-generic-passwordيتم استدعاؤه من برنامج نصي Shell بدلاً من المتصفحosascriptإنشاء مربعات حوار كلمة المرور مع الرموز المسحوبة من/tmp/- عمليات قراءة مجمعة لأدلة ملفات تعريف المتصفح متبوعة بحركة المرور إلى
api.telegram.org - قم بتمرير الأنابيب إلى bash حيث ينتهي عنوان URL
.jpg,.txtأو.css - إنشاء LaunchAgent في
~/Library/LaunchAgents/من خلال عملية الصدفة، مقترنة بـlaunchctl load
إذا بدأ جهاز Mac في إيقاف تطبيقاته الخاصة وترك مربع كلمة المرور على الشاشة، فلا تكتب كلمة المرور. لا تحتاج صفحة التحقق إلى جهازك الطرفي. يتم تشغيل فحص Cloudflare في المتصفح، وهذا هو بيت القصيد منه.
تقول Group-IB الاستمرار في الضغط على زر الطاقة حتى يتم إيقاف تشغيل الجهاز، ثم بدء التشغيل في الوضع الآمن، وخطوة Shift-at-startup هي إجراء Intel فقط. على Apple Silicon، اضغط مع الاستمرار على زر الطاقة حتى يظهر “Loading Startup options”، ثم حدد مستوى الصوت، ثم اضغط باستمرار على Shift وانقر فوق “Continue in Safe Mode”.
التنظيف غير متساو. تقوم الوحدات السرقة بتفريغ LaunchAgents الخاصة بها، وتزوير الطوابع الزمنية الخاصة بها ~/Movies لكسر تحليل الجدول الزمني، وحذف أنفسهم. goyim لا. اجلس خلال الحلقة، واكتب كلمة المرور، وشاهد سطح المكتب يعود، وما تبقى هو جهاز يبدو جيدًا مع غلاف عكسي عليه، ويعمل كجهاز SystemUIServerl خارج ~/Library/Application Support/iCloudsync.
تم إطلاق مشغلي ClickLock في شهر مايو، بعد شهر من عمر التحذير، وتم تصميمهم من أجل اللصق. ما إذا كان أحد أهداف Group-IB قد رأى ذلك أم لا، فهذا هو الشيء الذي لم يذكره التقرير.
طلبت Hacker News من Group-IB تفاصيل إصدار macOS وراء تلك الأهداف وسوف تقوم بتحديث هذه القصة بأي رد.
