Кампанія ClearFake перейшла на macOS

Кампанія ClearFake, яка раніше націлювалася на користувачів Windows за допомогою підроблених оновлень Chrome, розширила свою діяльність на macOS, зосередившись на комп’ютерах Apple зі шкідливим програмним забезпеченням Atomic Stealer (AMOS), про що повідомляє bleepingcomputer.com.

Розпочавшись у липні цього року, кампанія ClearFake використовувала фальшиві запити на оновлення Chrome, які відображалися через ін’єкції JavaScript на скомпрометованих сайтах. Важливою подією жовтня стало використання кампанією контрактів смартланцюжка Binance для приховування шкідливих скриптів у блокчейні за допомогою методу EtherHiding. Він сприяв розповсюдженню корисного навантаження, націленого на Windows, зокрема шкідливого програмного забезпечення для викрадення інформації, як-от RedLine, Amadey і Lumma.

17 листопада 2023 року аналітик загроз Анкіт Анубхав повідомив, що кампанія ClearFake розширилася на macOS, доставляючи корисне навантаження DMG користувачам, які відвідують скомпрометовані сайти. Нещодавній звіт Malwarebytes підтвердив це розширення, детально розповівши про те, що атаки містять приманку у вигляді оновлення Safari в поєднанні зі звичним накладенням Chrome.

Корисним навантаженням цих атак на macOS є Atomic — шкідливе програмне забезпечення для викрадення інформації, доступне кіберзлочинцям на каналах Telegram за 1000 доларів на місяць. Atomic, виявлене у квітні 2023 року, призначене для викрадення паролів, файлів cookie, даних кредитних карток та інформації з понад 50 криптовалютних розширень. Зокрема, програма спрямована на викрадення пароля від ключаря, вбудованого в macOS менеджера паролів, де зберігаються зашифровані паролі до Wi-Fi, логіни для входу на сайти й дані кредитних карток.

Аналіз корисного навантаження, проведений компанією Malwarebytes, виявив команди для вилучення конфіденційних даних, що підкреслює ризик для паролів, документів, зображень, файлів криптогаманців і ключів користувачів.

Ця подія свідчить про необхідність для користувачів Mac посилити заходи безпеки та проявляти обережність, коли їм пропонують завантажити оновлення, особливо якщо це запити на оновлення браузерів на сайтах. Попри те, що корисне навантаження Atomic виявили кілька місяців тому, його досі не знаходять приблизно 50 % антивірусів на VirusTotal.

Користувачам також слід звернути увагу на те, що оновлення браузера Safari поширюються виключно через оновлення програмного забезпечення в macOS, а оновлення інших браузерів — у самому браузері. До будь-яких пропозицій завантажити оновлення браузера із сайтів слід ставитися скептично й ігнорувати їх.