Bezpečnostní experti ze společnosti Jamf Threat Labs odhalili novou a mimořádně nebezpečnou hrozbu pro Macy. Škodlivý kód s názvem AmnesiaStealer dokáže nejen vysát citlivá osobní data, ale také v tichosti spustit neviditelnou kopii vašeho webového prohlížeče. Útočníkům se tak otevírá přímá cesta do vašich online účtů bez nutnosti zadávat hesla nebo dvoufázové ověření.
Podvodná stránka láká na příkaz do Terminálu
Celý útok začíná na podvodné webové stránce, která velmi věrně imituje oficiální GitHub. Nechybí jí tmavý grafický motiv, logo Octocat ani falešný odznak ověřeného vydavatele. Namísto běžného instalačního souboru však stránka po uživateli požaduje, aby zkopíroval uvedený kód, otevřel systémový Terminál a příkaz do něj vložil. Jedná se o takzvaný ClickFix útok, kdy celou instalaci škodlivého kódu nevědomky provede sám uživatel.
Zkopírovaný skript následně ze vzdáleného serveru stáhne zaheslovaný archiv se samotným malwarem a v tichosti jej spustí. Aby získal administrátorská práva, zobrazí falešnou systémovou výzvu s názvem Instalátor, která věrně napodobuje grafiku Nastavení systému v macOS. Pokud uživatel heslo zadá, malware si ho ověří, uloží a okamžitě získá přístup k systémové Klíčence, souborům a dalším citlivým částem systému.
Fotogalerie
Neviditelný prohlížeč v rukou útočníka
Zatímco běžné zlodějské programy pouze jednorázově zkopírují uložená data, AmnesiaStealer jde mnohem dál. Jakmile malware obdrží pokyn ze serveru útočníka, zkopíruje celý uživatelský profil z prohlížečů postavených na jádře Chromium, mezi které patří například Google Chrome, Brave, Microsoft Edge, Arc, Opera nebo Vivaldi.
Následně spustí originální prohlížeč ve zcela skrytém režimu na pozadí, aniž by se na obrazovce Macu otevřelo jakékoliv okno. Útočník získává živý náhled na probíhající relaci a přes legitimní vývojářský protokol Chrome DevTools může skrytý prohlížeč na dálku plnohodnotně ovládat klávesnicí i myší. Protože prohlížeč běží s již přihlášeným profilem, má útočník volný přístup ke všem odemčeným službám, bankovnictví i sociálním sítím, aniž by musel řešit dvoufázové ověřování.
Mohlo by vás zajímat
Krádeže poznámek, kryptopeněženek i hesel
V první fázi útoku malware prohledává složky Plocha, Dokumenty a Stahování, kde pátrá po dokumentech, bezpečnostních klíčích či datech kryptopeněženek. Kromě toho kompletně zkopíruje databázi systémových Poznámek včetně příloh, aktivní relace aplikace Telegram a uložená hesla z celkem šestnácti různých internetových prohlížečů.
Některé starší techniky pro obcházení bezpečnostních mechanismů macOS sice na moderních verzích systému selhaly, protože Apple již dříve zablokoval zranitelnosti týkající se přístupu k databázi soukromí TCC nebo ke snímkům disku APFS pro získání souborů cookie ze Safari. Pokud však uživatel sám zadá administrátorské heslo, základní funkcionalitě malwaru v krádeži dat už systém nedokáže zabránit.
Jak se před nákazou spolehlivě chránit
AmnesiaStealer se do počítače nemůže dostat sám bez vědomé asistence uživatele. Zlatým pravidlem prevence zůstává nikdy nekopírovat a nespouštět v Terminálu žádné cizí příkazy z neznámých internetových stránek. Žádná legitimní služba ani ověřovací test CAPTCHA po uživateli takový krok nikdy nevyžaduje. Software stahujte výhradně z Mac App Storu nebo oficiálních stránek ověřených vývojářů.
Pokud jste již podobný podvodný příkaz na svém Macu spustili, okamžitě počítač odpojte od sítě. Z jiného a bezpečného zařízení neprodleně změňte všechna hesla, odhlaste aktivní relace ve všech online službách a převeďte kryptoměny na nové adresy. Pouhé smazání staženého skriptu bezpečnost nezaručí a nejspolehlivějším řešením zůstává kompletní smazání disku a nová čistá instalace macOS.
