ClickFix атакует macOS: новый похититель данных маскируется под системные службы Apple

Поддельная страница выглядит как обычная проверка "я не робот". Она незаметно копирует в буфер обмена длинную строку текста, а затем предлагает открыть терминал и вставить скопированное. Человек думает, что подтверждает свою "человечность", но фактически вручную запускает загрузчик. Адреса таких страниц постоянно меняются, хотя рисунок доменного имени остаётся узнаваемым. Встроенные средства защиты macOS на этом шаге молчат, потому что команду вводит сам пользователь. После вставки на экране появляется сообщение о запуске. Достаточно одного невнимательного действия, и машина заражена.

Вставленный текст обращается к внешнему серверу и получает загрузчик. Тот определяет, какой процессор установлен в машине, и скачивает подходящую сборку. Для компьютеров на процессорах Apple это одна версия, для моделей на чипах Intel - другая. Размер исполняемого файла превышает тридцать мегабайт, что говорит о широком наборе возможностей. Файл сохраняется в служебной папке системы и получает имя, неотличимое от названия компонента Apple. Пользователь не увидит ни загрузки, ни нового значка. Сборка под нужный процессор повышает шансы, что программа запустится без ошибок.

{По данным блога Ransom-ISAC и последовавшего разбора инцидента}, заражённая машина сразу отчитывается перед управляющим сервером. Сначала она подтверждает удачную загрузку, потом сообщает о запуске программы и о том, что та работает штатно. Каждый шаг сопровождается отдельным сообщением. Главное отличие от изученных ранее образцов - постоянный двусторонний канал связи. Вместо разовых обращений программа удерживает соединение и передаёт через него данные порциями. Через этот канал уходят сохранённые пароли, содержимое браузеров, заметки и файлы с рабочего стола.

Собранные сведения уходят отдельными пакетами, каждый из которых подтверждается ответом сервера. Перед отправкой программа запросила у пользователя доступ к заметкам, документам, рабочему столу, загрузкам, музыкальной и фото библиотекам. Затем появились два окна с требованием пароля: пароля администратора и пароля связки ключей, то есть хранилища сохранённых паролей в macOS. Второе окно не приняло пароль администратора, и этот шаг пройти не удалось. Разрешения выдаёт сам пользователь, поэтому система считает происходящее законным. Запрос пароля от имени системного приложения обычно означает, что на машине работает чужой код.

Дальше программа закрепилась в системе. Копия исполняемого файла прописалась в пользовательском механизме автозапуска и получила имя, созвучное системному обновлению. Теперь она стартует при каждом входе в учётную запись. Три копии файла различались между собой по размеру и содержимому: первая пришла с сервера, вторая осела во временном хранилище, третья стала закреплённой версией. Одна и та же программа оставляет следы, которые не совпадают друг с другом. Это усложняет поиск по известным признакам. Прав администратора для закрепления не требуется.

Семейство вредоносных программ пока не названо. Раньше кампанию связывали с известным похитителем данных для macOS под названием AMOS Stealer. Новые наблюдения эту версию не подтверждают. Набор собираемых данных другой, способ вывода данных другой, механизм закрепления тоже отличается. Вдобавок прежний образец распространялся универсальным установщиком, а этот собирают отдельно под каждый тип процессора. Различия заметны даже при поверхностном сравнении. Автор разбора не исключает, что ошибся, и ждёт уточнений от коллег с большим опытом изучения macOS.

Для организаций риск складывается из нескольких частей. Украденные учётные данные открывают доступ к корпоративным сервисам. Документы и заметки с рабочего компьютера могут содержать сведения, которые компания не собиралась раскрывать. Потеря доступа к рабочей почте или хранилищу кода останавливает работу целых команд. Загрузка дополнительных модулей превращает кражу данных в постоянное присутствие злоумышленника внутри сети. Для небольшой компании один заражённый ноутбук оборачивается утечкой клиентской базы. Компьютеры Apple давно не защищены от подобных схем по умолчанию.

Простые меры снижают вероятность заражения. Не вставляйте в терминал текст, скопированный со случайной страницы. Проверяйте, откуда пришло предложение подтвердить, что вы не робот. Просматривайте список программ, которые запускаются автоматически при входе в систему. Отказывайте в доступе к заметкам, документам и медиатеке, если причина запроса непонятна. Пароль администратора и пароль хранилища паролей не вводите по всплывающему окну. Если запрос на доступ пришёл без предупреждения, отклоните его и разберитесь в ситуации. Своевременные обновления системы закрывают часть путей для похожих схем.