Исследователи компании CloudSEK обнаружили сложную кампанию по распространению новой версии Atomic macOS Stealer (AMOS) с использованием поддельных доменов, имитирующих сайт американского телеком-провайдера Spectrum. Атака, замаскированная под проверку CAPTCHA, использует динамические полезные нагрузки, адаптированные под операционную систему жертвы. В случае macOS злоумышленники заставляют пользователей выполнить вредоносный скрипт, который крадет системные пароли, обходит защитные механизмы и загружает AMOS (Atomic macOS Stealer) для дальнейшего заражения.
Описание
Кампания использует метод Clickfix: жертвам предлагается скопировать и выполнить команду, якобы для прохождения верификации. В зависимости от операционной системы пользователя подгружается разный вредоносный код. Для Windows это PowerShell-скрипт, загружающий дополнительную нагрузку, а для macOS - Bash-скрипт, который ворует пароли через системные команды и запускает AMOS.
Особую тревогу вызывает наличие русскоязычных комментариев в исходном коде, что указывает на возможное участие русскоговорящих киберпреступников. При этом исследователи отмечают небрежность в реализации: например, Linux-пользователям предлагается выполнить PowerShell-команду, а инструкции для Windows отображаются и на macOS.
Анализ показал, что скрипт для macOS использует dscl . -authonly для проверки пароля, сохраняет его в /tmp/.pass, а затем загружает и запускает вредоносный файл update, относящийся к семейству AMOS. Последние вариации этого стилера, такие как Poseidon и Odyssey, активно используются злоумышленниками.
Эксперты предупреждают, что подобные атаки демонстрируют растущую тенденцию к многоплатформенным социальным инженерным атакам, направленным как на частных пользователей, так и на корпоративные сети. Организациям рекомендуется усилить защиту, обучать сотрудников распознаванию фишинга и следить за новыми угрозами в сфере macOS-малвари.
Индикаторы компрометации
