Поддельные инструкции по установке утилит для macOS заражают компьютеры похитителем данных AMOS

История AMOS началась в апреле 2024 года с объявления в Telegram. Программу предлагали другим злоумышленникам как готовый инструмент, а не применяли в одиночку. С тех пор семейство заняло заметную долю вредоносных программ для macOS и считается растущей угрозой. Распространяют его по нескольким каналам. Это рекламные объявления, сайты с "взломанными" версиями платных программ и поддельные страницы проверки. Заражения шли волнами: часть кампаний опиралась на рекламные сети, часть - на подставные страницы с инструкциями. Владельцы таких ресурсов добиваются одного: чтобы человек сам выполнил действие, запускающее вредоносный код. Иногда достаточно нажать кнопку, иногда - вставить скопированную строку в системное окно.

Заражение воспроизвели 5 августа 2026 года в изолированной лабораторной среде, как показало исследование. Страница обещала быстро настроить набор инструментов для macOS. Скопированный с неё текст обращался к внешнему серверу и загружал сценарий командной оболочки. Внутри лежала сжатая и закодированная полезная нагрузка. После распаковки она скачивала исполняемый файл для macOS, который и устанавливал AMOS. Схема с поддельной проверкой "я не робот" устроена иначе: человека подводят к тому же действию через имитацию капчи. Здесь хватило обычной страницы с инструкцией.

Установщик маскировался под системные службы Apple. Файлы легли в служебные папки библиотеки пользователя, а имена копировали названия штатных процессов. Рядом программа создавала второй, резервный набор файлов - на случай, если первый заметят и удалят. Перед продолжением macOS запросила пароль учётной записи. Пароль администратора на этом этапе решает судьбу устройства: без него установка останавливается. На тестовом компьютере учётная запись обладала правами администратора, поэтому заражение пошло дальше. Затем Терминал попросил разрешения на управление Finder, доступ к файлам рабочего стола и документов, а также на работу с приложением "Заметки". Каждое из этих разрешений расширяло возможности программы.

Собранные данные AMOS сначала складывала во временную папку, а потом упаковывала в единый архив. Состав архива показывает, что искали злоумышленники. В список попали кошельки Binance и TonKeeper, а также ключи доступа к облачным сервисам и средствам разработки. Историю введённых команд, данные Telegram, имя пользователя и сведения о системе она собирала отдельно. Тестовый компьютер был чистой установкой без дополнительных приложений. Тем не менее набор папок в архиве говорит о том, какие программы AMOS проверяет на реальных машинах. История команд интересна сама по себе: в ней остаются названия серверов, логины и рабочие сценарии.

После заражения данные уходили небольшими порциями на удалённый сервер. Первый запрос сообщал о запуске, затем следовали обращения за перепиской, сохранёнными паролями, данными браузеров, кошельками и локальными файлами. Похожая картина наблюдалась 31 июля 2026 года, но тогда программа связывалась с другим сервером. Меняются не только адреса, но и имена файлов и папок. За несколько дней инфраструктура обновилась полностью. Разница между двумя случаями свелась к адресам и названиям. Смена серверов и имён за считанные дни говорит о том, что семейство развивают постоянно.

Для компаний последствия серьёзнее, чем для частных пользователей. Похищенные ключи от облачных сервисов открывают доступ к рабочим системам. Данные из мессенджеров позволяют вести целевой фишинг от имени сотрудника. Сохранённые в браузере пароли попадают к злоумышленнику вместе с файлами профиля. Кошельки и учётные данные продаются на теневых площадках. Один неосторожный запуск команды на ноутбуке руководителя затрагивает интересы всей организации. Заметить заражение по сетевому трафику непросто: обращения к серверу выглядят как обычные защищённые запросы на выход.

AMOS активно развивается, поэтому конкретные признаки быстро устаревают. Общая схема при этом остаётся прежней. Человека убеждают самому запустить команду, затем просят пароль администратора и разрешения на доступ к личным файлам. Защита строится на простых правилах. Не вставляйте в Терминал строки с незнакомых сайтов, какими бы полезными они ни казались. Не вводите пароль учётной записи по просьбе веб-страницы. Обновляйте macOS и приложения. Пароли храните в менеджере и включайте двухфакторную аутентификацию везде, где это возможно. В компаниях разумно ограничить круг сотрудников с правами администратора и запретить запуск сторонних сценариев на рабочих машинах. Данные для доступа к облачным сервисам надёжнее держать в корпоративном хранилище, а не в файлах на рабочем столе. Полезно заранее договориться, куда сотрудник сообщает о подозрительном запросе пароля.