كشف خبراء الأمن في مختبرات جامف للتهديدات عن تهديد جديد وخطير للغاية لأجهزة ماك. لا يقتصر عمل الشفرة الخبيثة، المسماة AmnesiaStealer، على سرقة البيانات الشخصية الحساسة فحسب، بل يمكنها أيضًا تشغيل نسخة خفية من متصفح الويب الخاص بك، مما يمنح المهاجمين طريقًا مباشرًا إلى حساباتك على الإنترنت دون الحاجة إلى إدخال كلمات المرور أو المصادقة الثنائية.
موقع ويب احتيالي يطلب تنفيذ أمر طرفي
يبدأ الهجوم بالكامل على موقع ويب مزيف يُحاكي موقع GitHub الرسمي بدقة. يتميز الموقع بتصميم داكن، وشعار Octocat، وشارة مزيفة لناشر موثق. ولكن بدلاً من ملف تثبيت عادي، يطلب الموقع من المستخدم نسخ الكود المحدد، وفتح نافذة الأوامر (Terminal)، ولصق الأمر فيها. يُعرف هذا النوع من الهجمات باسم "هجوم ClickFix"، حيث يقوم المستخدم بتثبيت الكود الخبيث دون علمه.
ثم يقوم البرنامج النصي المنسوخ بتنزيل أرشيف محمي بكلمة مرور يحتوي على البرمجية الخبيثة نفسها من خادم بعيد، ثم يقوم بتشغيله بصمت. للحصول على الإعلانminiعند منح صلاحيات المسؤول، يعرض النظام نافذة نظام وهمية تُسمى "المثبت" تُحاكي بشكل كبير رسمة "إعداد النظام" في ماكإذا أدخل المستخدم كلمة المرور، يقوم البرنامج الخبيث بالتحقق منها وحفظها، ويحصل على الفور على إمكانية الوصول إلى سلسلة مفاتيح النظام والملفات والأجزاء الحساسة الأخرى من النظام.
معرض الصور
متصفح خفي في أيدي المهاجم
بينما تقوم برامج السرقة الشائعة بنسخ البيانات المخزنة مرة واحدة فقط، فإن برنامج AmnesiaStealer يتجاوز ذلك بكثير. فبمجرد أن يتلقى البرنامج الخبيث تعليمات من خادم المهاجم، يقوم بنسخ ملف تعريف المستخدم بالكامل من المتصفحات المبنية على نواة Chromium، بما في ذلك متصفحات جوجل. Chrome، شجاع ، Microsoft Edge، آرك، أوبرا أو فيفالدي.
ثم يقوم بتشغيل المتصفح الأصلي في وضع مخفي تمامًا في الخلفية، دون فتح أي نوافذ على شاشة ماك. ويحصل المهاجم على عرض مباشر للجلسة الجارية من خلال بروتوكول المطور الشرعي. Chrome يمكن لأدوات المطورين التحكم بشكل كامل في المتصفح المخفي عن بعد باستخدام لوحة المفاتيح والماوس. Proلأن المتصفح يعمل بملف تعريف مسجل الدخول بالفعل، فإن المهاجم لديه وصول مجاني إلى جميع الخدمات غير المقفلة، والخدمات المصرفية، والشبكات الاجتماعية، دون الحاجة إلى التعامل مع التحقق بخطوتين.
يمكن أن تكون مهتمًا بـ
سرقة الأوراق النقدية ومحافظ العملات المشفرة وكلمات المرور
في المرحلة الأولى من الهجوم، يقوم البرنامج الخبيث بفحص مجلدات سطح المكتب والمستندات والتنزيلات بحثًا عن المستندات ومفاتيح الأمان وبيانات محفظة العملات الرقمية. كما يقوم بنسخ قاعدة بيانات ملاحظات النظام بالكامل، بما في ذلك المرفقات وجلسات تيليجرام النشطة وكلمات المرور المحفوظة من ستة عشر متصفح ويب مختلفًا.
بعض التقنيات القديمة لتجاوز آليات الأمان ماك على الرغم من فشلهم في الإصدارات الحديثة من النظام لأن Apple ثغرات أمنية تم حظرها سابقًا تتعلق بالوصول إلى قاعدة بيانات خصوصية TCC أو لقطات قرص APFS للحصول على الملفات cookأي أن Safariلكن إذا قام المستخدم نفسه بإدخال الإعلانminiلم يعد النظام قادراً على منع الوظائف الأساسية للبرامج الضارة في سرقة البيانات.
كيفية حماية نفسك من العدوى بشكل موثوق
لا يستطيع برنامج AmnesiaStealer اختراق جهاز الكمبيوتر تلقائيًا دون تدخل المستخدم. وتبقى القاعدة الذهبية للوقاية هي عدم نسخ أو تشغيل أي أوامر خارجية من مواقع ويب غير معروفة في سطر الأوامر. لا تتطلب أي خدمة شرعية أو اختبار تحقق CAPTCHA من المستخدم اتخاذ مثل هذه الخطوة. حمّل البرامج حصريًا من ماك App محل أو المواقع الرسمية للمطورين المعتمدين.
إذا سبق لك تنفيذ أمر احتيالي مماثل على جهاز Mac الخاص بك، فافصله فورًا عن الشبكة. من جهاز آخر آمن، غيّر جميع كلمات المرور، وسجّل الخروج من جميع الخدمات الإلكترونية، وحوّل العملات الرقمية إلى عناوين جديدة. حذف البرنامج النصي الذي تم تنزيله لا يضمن الأمان، ويبقى الحل الأمثل هو مسح القرص بالكامل وإعادة تثبيت نظام macOS من جديد.
