מומחי אבטחה ב-Jamf Threat Labs חשפו איום חדש ומסוכן ביותר עבור מחשבי מק. הקוד הזדוני, המכונה AmnesiaStealer, יכול לא רק לגנוב מידע אישי רגיש, אלא גם להפעיל בשקט עותק בלתי נראה של דפדפן האינטרנט שלך, מה שנותן לתוקפים נתיב ישיר לחשבונות המקוונים שלך מבלי שתצטרך להזין סיסמאות או אימות דו-שלבי.
אתר אינטרנט הונאה מפתה אותך להזין פקודה בטרמינל
ההתקפה כולה מתחילה באתר הונאה המחקה מקרוב את GitHub הרשמי. הוא כולל עיצוב גרפי כהה, לוגו Octocat ותג מזויף של מפרסם מאומת. עם זאת, במקום קובץ התקנה רגיל, הדף מבקש מהמשתמש להעתיק את הקוד שצוין, לפתוח את טרמינל המערכת ולהדביק את הפקודה לתוכו. זוהי מתקפת ClickFix, שבה כל ההתקנה של הקוד הזדוני מבוצעת מבלי דעת על ידי המשתמש.
לאחר מכן, הסקריפט המועתק מוריד ארכיון מוגן בסיסמה המכיל את התוכנה הזדונית עצמה משרת מרוחק ומפעיל אותו בשקט. כדי להשיג את המודעהminiזכויות מנהל מערכת, הוא מציג הנחיית מערכת מזויפת בשם Installer המחקה מקרוב את גרפיקת הגדרת המערכת ב MacOSאם המשתמש מזין את הסיסמה, התוכנה הזדונית מאמתת אותה, שומרת אותה ומקבלת גישה מיידית למחזיק המפתחות של המערכת, לקבצים ולחלקים רגישים אחרים במערכת.
גלריית תמונות
דפדפן בלתי נראה בידי תוקף
בעוד שתוכנות גניבה נפוצות מעתיקות את הנתונים המאוחסנים רק פעם אחת, AmnesiaStealer הולכת הרבה יותר רחוק. ברגע שהתוכנה הזדונית מקבלת הוראה משרת התוקף, היא מעתיקה את כל פרופיל המשתמש מדפדפנים הבנויים על ליבת Chromium, כולל של גוגל. Chrome, אמיץ, Microsoft Edge, ארק, אופרה או ויוואלדי.
לאחר מכן, הדפדפן מפעיל את הדפדפן המקורי במצב מוסתר לחלוטין ברקע, מבלי שייפתחו חלונות על מסך המק. התוקף מקבל תצוגה חיה של ההפעלה המתמשכת ודרך פרוטוקול המפתחים הלגיטימי. Chrome DevTools יכולים לשלוט באופן מלא בדפדפן הנסתר מרחוק באמצעות המקלדת והעכבר. Proמכיוון שהדפדפן פועל עם פרופיל שכבר מחובר, לתוקף יש גישה חופשית לכל השירותים הלא נעולים, הבנקאות והרשתות החברתיות, מבלי להתמודד עם אימות דו-שלבי.
אתה יכול להתעניין
גניבת שטרות, ארנקי קריפטו וסיסמאות
בשלב הראשון של המתקפה, הנוזקה סורקת את תיקיות שולחן העבודה, המסמכים וההורדות אחר מסמכים, מפתחות אבטחה ונתוני ארנק קריפטו. היא גם מעתיקה לחלוטין את מסד הנתונים של Notes, כולל קבצים מצורפים, הפעלות פעילות בטלגרם וסיסמאות שנשמרו משישה עשר דפדפני אינטרנט שונים בסך הכל.
כמה טכניקות ישנות יותר לעקיפת מנגנוני אבטחה MacOS למרות שהם נכשלו בגרסאות מודרניות של המערכת בגלל Apple פגיעויות שנחסמו בעבר הקשורות לגישה למסד הנתונים של הפרטיות של TCC או לתמונות בזק של דיסק APFS כדי להשיג קבצים cookכלומר, ש Safariעם זאת, אם המשתמש עצמו מזין את המודעהminiהמערכת אינה יכולה עוד למנוע את הפונקציונליות הבסיסית של תוכנות זדוניות בגניבת נתונים.
כיצד להגן על עצמך בצורה אמינה מפני זיהום
AmnesiaStealer אינו יכול להיכנס למחשב בכוחות עצמו ללא סיוע מודע של המשתמש. כלל הזהב למניעת פגיעה הוא לא להעתיק ולהפעיל פקודות זרות מאתרים לא ידועים בטרמינל. שום שירות לגיטימי או בדיקת אימות CAPTCHA לעולם לא דורשים מהמשתמש לנקוט בצעד כזה. הורד תוכנה באופן בלעדי מ... Mac App חנות או אתרים רשמיים של מפתחים מאומתים.
אם כבר הפעלתם פקודה הונאה דומה במחשב ה-Mac שלכם, נתק מיד את המחשב מהרשת. ממכשיר אחר ומאובטח, שנה מיד את כל הסיסמאות, התנתק מפגישות פעילות בכל השירותים המקוונים והעביר מטבעות קריפטוגרפיים לכתובות חדשות. מחיקת הסקריפט שהורדת לא תבטיח אבטחה, והפתרון האמין ביותר נותר מחיקה מלאה של הדיסק והתקנה נקייה חדשה של macOS.
