Исследовательская группа TrendAI зафиксировала опасную эволюцию вектора распространения вредоносного ПО Atomic macOS Stealer (AMOS). Если ранее этот стилер, известный с 2023 года, распространялся преимущественно через взломанное программное обеспечение, то теперь злоумышленники перешли к более изощренной атаке на цепочку поставок программного обеспечения. Их новая цель - манипуляция рабочими процессами ИИ-агентов на популярной платформе OpenClaw, которая позволяет пользователям расширять функциональность своих виртуальных помощников с помощью сторонних модулей, так называемых «скиллов» (skills). Эта кампания знаменует собой тревожный поворот в киберугрозах, когда злоумышленники атакуют не человека напрямую, а используют искусственный интеллект в качестве доверенного посредника для социальной инженерии.
Описание
Атака начинается с размещения вредоносных скиллов в публичных репозиториях, таких как ClawHub, SkillsMP.com и даже в официальном репозитории openclaw/skills на GitHub. Исследователи обнаружили 39 таких скиллов, а параллельное исследование компании Koi выявило 341 аналогичный модуль под названием ClawHavoc. Зловредный код маскируется под инструкцию по установке необходимого компонента - OpenClawCLI. В файле "SKILL.md" содержится, казалось бы, безобидная команда, требующая предварительной загрузки утилиты с подконтрольного злоумышленникам домена. Именно здесь и кроется главная уловка. Когда пользователь или его ИИ-агент, например, на базе модели GPT-4o, пытается установить скилл, система следует инструкциям и загружает скрытую полезную нагрузку.
Ключевой элемент атаки - эксплуатация доверия между пользователем и его ИИ-агентом. Агент, получив инструкции из файла скилла, выступает в роли доверенного источника и сам предлагает пользователю выполнить действия, ведущие к заражению. В частности, на экране появляется диалоговое окно, имитирующее стандартный системный запрос, которое просит пользователя вручную ввести пароль от учетной записи macOS для «установки необходимого драйвера». Этот метод, известный как «человек в петле» (human-in-the-loop), эффективно обходит многие автоматические защитные механизмы, полагаясь на человеческую ошибку. Примечательно, что более продвинутые языковые модели, такие как Claude Opus 4.5, способны распознать подобные уловки и прервать установку, что указывает на зависимость успеха атаки от уровня интеллекта используемого ИИ.
Если пользователь вводит пароль, в систему загружается и исполняется вредоносный Mach-O универсальный бинарный файл с именем вида "il24xgriequcys45". Этот файл, способный работать как на компьютерах Mac с процессорами Intel, так и на Apple Silicon, подписан так называемой ad-hoc подписью, которая не требует сертификата доверенного центра и используется в основном для разработки. После запуска стилер Atomic Stealer приступает к агрессивному сбору конфиденциальных данных. В отличие от некоторых предыдущих версий, этот вариант не пытается закрепиться в системе (persistence) для долгосрочного присутствия, что, впрочем, не умаляет его опасности.
В фокус зловреда попадает широкий спектр информации: логин и пароль пользователя, файлы с рабочего стола и из папок «Загрузки» и «Документы» (включая текстовые файлы, документы Office, PDF и, что критично, файлы баз данных менеджера паролей KeePass с расширением ".kdbx"). Кроме того, стилер целенаправленно извлекает учетные данные, сертификаты и приватные ключи из связки ключей Apple (Apple Keychain), собирает заметки из приложения Apple Notes, данные о системе и конфигурации дисплея. Собранные данные архивируются в ZIP-файл и отправляются на сервер управления командованием и контролем (C&C, command-and-control) злоумышленников по протоколу HTTPS. Любопытно, что стилер игнорирует файлы ".env", которые часто содержат API-ключи для языковых моделей, что может указывать на узкую специализацию данной кампании на краже финансовых данных и личной информации.
С технической точки зрения, аналитики TrendAI отмечают, что строки внутри исполняемого файла зашифрованы по схеме XOR с использованием нескольких мастер-ключей, что усложняет статический анализ. Функционал стилера остается классическим для семейства AMOS: он поддерживает сбор данных из 19 различных браузеров (куки, пароли, данные автозаполнения), 150 видов криптовалютных кошельков, а также сообщений из Telegram и Discord. В некоторых случаях после успешной эксфильтрации данных вредоносное ПО может попытаться загрузить и установить скомпрометированные версии популярных криптокошельков Ledger Live и Trezor Suite, что открывает путь для масштабных финансовых потерь.
С точки зрения защиты, эксперты подчеркивают, что традиционные меры, такие как проверка сертификатов, в данном случае могут оказаться неэффективными из-за использования ad-hoc подписи. Однако современные платформы расширенного обнаружения и реагирования (XDR), такие как TrendAI Vision One, способны выявлять подобные угрозы по поведенческим аномалиям. В частности, система фиксирует цепочки событий: попытка отключения средств защиты с последующей эксфильтрацией данных через веб-сервис. Продукты TrendAI блокируют как исполняемые файлы стилера, так и домены C&C-серверов. Важнейшей рекомендацией для пользователей OpenClaw и подобных платформ является крайняя осторожность при установке сторонних скиллов из непроверенных источников. Не следует слепо доверять запросам, которые ИИ-агент генерирует на основе инструкций извне, особенно если они требуют ввода пароля или установки дополнительного ПО. В свою очередь, разработчикам платформ для ИИ-агентов необходимо ужесточить процессы модерации и проверки пользовательского контента, особенно в публичных репозиториях, где были обнаружены тысячи потенциально опасных модулей. Эволюция AMOS от примитивного софта для взлома к сложным атакам на цепочку поставок через ИИ-агентов ясно показывает, что злоумышленники постоянно ищут и находят новые уязвимые звенья в цифровой экосистеме.
Индикаторы компрометации
