Бэкдор Phexia крадёт пароли и данные браузеров на macOS

Phexia, модульный бэкдор и стиллер для macOS, распространяется через кампании в стиле ClickFix. В зарегистрированных случаях пользователь запускал в Терминале команду, которая скачивала shell-скрипт и передавала его в Bash через конвейер. Операторы также использовали Phexia для развертывания майнера XMRig 6.26.0 для macOS ARM64.

Закрепление и связь с серверами управления

Скачанный скрипт запускал дроппер, написанный на AppleScript. Тот создавал для конкретного пользователя LaunchAgent в каталоге ~/Library/LaunchAgents. Параметр KeepAlive обеспечивал перезапуск загрузчика, а в более ранних сборках параметр RunAtLoad запускал его при входе пользователя в систему. В некоторых новых загрузчиках код был закодирован в Base64 внутри файла plist и передавался в osascript через конвейер, без сохранения в отдельные файлы.

Недавние сборки определяют имя хоста управления (C2) с помощью смарт-контрактов Polygon и запросов JSON-RPC eth_call. Загрузчик обращается к нескольким RPC-эндпоинтам Polygon, декодирует полученное имя хоста, а затем загружает модуль бэкдора. Если определить имя хоста не удаётся, процесс завершается, а LaunchAgent повторяет попытку позже.

Операторы могут менять имя хоста через контракт. При этом заражённые конечные точки могут продолжать использовать прежние домены C2, пока не перезапустится загрузчик или бэкдор. Повторное заражение может добавить второй LaunchAgent. В таком случае несколько сборок остаются активными и взаимодействуют с разными компонентами инфраструктуры.

Кража данных, майнинг и признаки заражения

Phexia может перехватывать пароли для входа. Для проверки учётных данных она использует команду dscl . authonly, а действующие пароли сохраняет в ~/.passphrase. Модули стиллера собирают профили браузеров, файлы cookie, сохранённые данные для входа, секреты Safe Storage браузеров, данные Связки ключей для входа, а также данные расширений LastPass и NordPass. Отдельный AppleScript использует Finder для копирования файлов cookie Safari. Вредоносная программа размещает и архивирует данные в каталоге /tmp/ для последующей загрузки. Она также собирает сведения о системе и названия приложений.

Операторы применяли механизм Phexia tasking для установки XMRig 6.26.0, скачанного из официального релиза на GitHub. Ответы Ledger и shell устанавливали или перезапускали майнер, иногда неоднократно, меняя пулы майнинга, кошельки и рабочие каталоги.

К индикаторам, значимым для расследования, относятся:

• загрузка скриптов, связанных с Terminal, с последующим запуском osascript;
• подозрительные LaunchAgents с закодированными загрузчиками;
• запросы Polygon от процессов, управляемых скриптами;
• параметры задач Phexia в POST-запросах;
• команды проверки учётных данных;
• запуск XMRig в той же цепочке процессов.

Авторы отчёта рекомендуют при устранении последствий учитывать все элементы закрепления, историческую активность C2, украденные учётные данные и сессии, а также процессы майнера.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.