Группа LastPass Threat Intelligence, Mitigation, and Escalation (TIME) сообщает о масштабной кампании по распространению вредоносного ПО для кражи данных, нацеленной на пользователей компьютеров Mac. Злоумышленники создают поддельные репозитории на GitHub, имитирующие официальные страницы известных компаний, включая технологические корпорации, финансовые учреждения и менеджеры паролей. Цель атаки - заставить жертв установить программу-похититель конфиденциальной информации Atomic Stealer (также известную как AMOS).
Описание
Атака использует методы поисковой оптимизации (SEO), чтобы выводить ссылки на мошеннические сайты в топ результатов поиска Google и Bing. Пользователи, ищущие программное обеспечение для macOS, могут случайно перейти на поддельные GitHub-страницы, которые перенаправляют их на вредоносные ресурсы. Для LastPass были зафиксированы два таких репозитория, размещённых пользователем modhopmduck476 16 сентября. Оба содержали ссылки с предложением «Установить LastPass на MacBook», которые вели на страницу hxxps://ahoastock825[.]github[.]io/.github/lastpass.
После перехода жертве предлагается скопировать и выполнить в терминале команду, которая загружает и запускает скрипт с закодированным URL-адресом. Расшифрованная ссылка ведёт на bonoud[.]com/get3/install.sh, откуда загружается полезная нагрузка под названием «Update». Фактически это Atomic Stealer - вредоносная программа, активная с апреля 2023 года и связанная с финансово мотивированными киберпреступными группами.
Эксперты LastPass отмечают, что злоумышленники используют множество аккаунтов на GitHub для обхода процедур удаления контента. Заголовки страниц содержат названия компаний и слова, связанные с macOS, чтобы привлечь целевую аудиторию. После установки малварь похищает логины, пароли, ключи криптокошельков и другие конфиденциальные данные.
LastPass оперативно подал заявки на удаление мошеннических страниц, и они уже заблокированы. Компания призывает пользователей быть осторожными при установке ПО, проверять официальные источники и не выполнять команды в терминале без полной уверенности в их безопасности. Также рекомендуется использовать антивирусные решения и регулярно обновлять системы.
Кампания демонстрирует растущую изощрённость атак на macOS, ранее считавшуюся более защищённой платформой. Аналогичные инциденты описаны в блоге исследователя Dhiraj Mishra, что подтверждает скоординированный характер угрозы. LastPass продолжает мониторинг ситуации и сотрудничает с другими экспертами по кибербезопасности для противодействия злоумышленникам.
Индикаторы компрометации
