AppleScript: Вградената защита на macOS се превърна в инструмент за хакерство

Атаките срещу потребители на macOS набират скорост, като изследователите съобщават за увеличаване на активността на зловредния софтуер (инфостийлър), който може да краде пароли, финансови данни и друга чувствителна информация.

Сред най-често срещаните заплахи през миналата година са три вида зловреден софтуер: Atomic Stealer (AMOS), Poseidon Stealer и Cthulhu Stealer. Те са фокусирани върху събирането на данни от браузъри, портфейли за криптовалути и мениджъри на пароли, като представлява заплаха за бизнеса и частните потребители.

През последните 2 тримесечия Palo Alto Networks наблюдава 101% увеличение на броя на атаките. Инфостийлърите са се превърнали в най-голямата група нов зловреден софтуер за macOS през 2024 година.

Една от причините за този ръст е активното използване на AppleScript – вграден механизъм в macOS, който позволява на киберпрестъпниците да създават зловредни скриптове, маскирани като системни заявки.

Atomic Stealer (AMOS) се появява за първи път през 2023 година и се разпространява чрез модела „зловреден софтуер като услуга“ (MaaS). Авторите продават софтуера във форуми и Telegram, а самите атаки най-често се осъществяват чрез malvertising – реклама на зловреден софтуер, маскиран като легитимни приложения. AMOS краде записи от браузъри, портфейли с криптовалути и данни от месинджъри.

Poseidon Stealer е рекламиран от псевдонима Rodrigo4, който преди това е бил свързан с AMOS. Зловредният софтуер се разпространява чрез троянски инсталатори на популярен софтуер. След като бъде стартирано, приложението иска системна парола и след това събира данни от устройството, включително пароли от мениджърите BitWarden и KeePassXC. По-късно Poseidon Stealer изпраща откраднатата информация на сървърите на нападателите.

Cthulhu Stealer работи на подобен принцип, но създателите му активно популяризират зловредния софтуер чрез Telegram. Крадецът се маскира като програма за почистване на macOS, но когато бъде инсталиран, иска пароли за системните и MetaMask портфейли. Зловредният софтуер краде данни от браузъри, портфейли за криптовалути, файлови хранилища и дори от играта Minecraft, като качва събраната информация на сървъра на нападателите.

Въпреки, че macOS традиционно се счита за по-сигурна операционна система от Windows, нападателите активно използват AppleScript, който им позволява да изпълняват команди в системата без допълнителни привилегии.

Този инструмент улеснява стартирането на зловреден код чрез създаване на фалшиви системни диалози, чрез които нападателите искат от жертвата парола или я принуждават да деактивира механизмите за сигурност.

Анализът на кода показва, че и трите програми за кражба на информация са способни не само да крадат данни, но и да подготвят почвата за други атаки, включително за разпространение на софтуер за откуп. За да намалят рисковете, потребителите на macOS трябва да избягват изтеглянето на софтуер от непроверени източници, да ограничат изпълнението на AppleScript и да използват актуални системи за откриване на заплахи.