ClickFix распространяла стилер AMOS через поддельную загрузку Xcode
Кампания ClickFix нацелилась на пользователей macOS: сайт на домене xcode-macos.com имитировал загрузку Xcode и предлагал вставить команду в Terminal. В результате на устройство загружался стиллер Atomic macOS Stealer (AMOS).
Приманка использовала привычный для разработчиков способ установки программ через командную строку. Команда декодировала скрытый URL с помощью openssl, скачивала удалённый сценарий оболочки командой curl и передавала ответ напрямую в zsh. Этот приём соответствует технике MITRE ATT&CK T1204.004, Malicious Copy and Paste.
Первичный загрузчик создал каталог ~/Library/Caches/update_x7vd9r/, записал временную метку и подсчитал количество файлов с расширением .ips в каталоге ~/Library/Logs/DiagnosticReports. В загрузчике упоминалась ротация диагностических журналов, однако он не удалял эти файлы и не выполнял их ротацию.
Затем скрипт применил обфускацию и шифрование для извлечения следующего этапа, написанного на языке оболочки. Имена утилит, в том числе md5, xxd, openssl и gunzip, восстанавливались динамически. Расшифрованный этап собирал сведения об узле с помощью команд sysctl -n hw.memsize, id -u и whoami.
Скрипт также отправлял запрос с параметром event=pasted, который, по всей видимости, использовался для записи телеметрии выполнения или рабочих процессов. Проанализированный код не обращался к содержимому буфера обмена, поэтому этот параметр не указывает на кражу данных из него.
Загрузчик скачал бинарный файл по пути /tmp/.x6u13xmc1v, очистил его расширенные атрибуты командой xattr -c, сделал исполняемым с помощью chmod +x и запустил. Файл идентифицировали как AMOS; его SHA-256: 1ff24a3fc71d964c8c2d56b7a6adc48afa8d5bc8c989180e713647001c2f0828. Наблюдавшаяся очистка расширенных атрибутов не подтверждает, что у файла был атрибут карантина.
Атака опиралась на социальную инженерию, а не на уязвимость браузера. Блокировка приманки до того, как пользователь увидит инструкции для Terminal, предотвратит последующее выполнение загрузчика и AMOS.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
