Mac.c: новый стилер, угроза macOS и криптовалютам

Недавнее расследование Moonlock Lab выявило появление нового похитителя данных для macOS — Mac.c, который уже начинает распространяться в даркнете. Вредоносное ПО доступно по подписке и ориентировано в первую очередь на владельцев криптовалют и пользователей аппаратных кошельков.

«Недавнее расследование, проведенное Moonlock Lab, выявило появление нового похитителя компьютеров Mac, известного как Mac.c, который быстро набирает популярность в даркнете.» — Moonlock Lab

Ключевые факты

• Коммерческая модель: подписка — $1500 в месяц; дополнительные модули продаются отдельно (например, фишинговый компонент для кошельков Trezor за $1000 единоразово).
• Цена заметно ниже предшественника AMOS, что указывает на усиление конкуренции в сегменте Stealer.
• Разработчик, известный под псевдонимом mentalpositive, публично обсуждал код и улучшения, делая разработку более прозрачной для сообщества злоумышленников.
• Аналитики отмечают значительное сходство кода Mac.c и AMOS; большая часть кода практически идентична.

Как распространяется и работает Mac.c

Атака обычно начинается с фишинга: пользователи непреднамеренно загружают вредоносные файлы или переходят по вредоносным ссылкам во время серфинга в интернете. После запуска malware способно:

• имитировать игру или другое «безобидное» приложение, чтобы обманом получить у пользователя необходимые разрешения;
• собрать учетные данные, файлы и доступы, особенно связанные с криптовалютными кошельками;
• использовать специализированные фишинговые модули для атак на аппаратные кошельки, такие как Trezor.

Технические особенности и связь с AMOS

Специалисты отмечают, что Mac.c во многом напоминает AMOS: по структуре и ряду компонентов код у них практически совпадает. При этом Mac.c описывают как урезанную версию, однако вопросы относительно его эффективности и полного набора возможностей по сравнению с AMOS остаются открытыми.

Особенностью стала публичная активность автора — mentalpositive — который делился решениями по кодированию и улучшениям в онлайне. Такая открытость облегчает распространение знаний среди других злоумышленников и ускоряет развитие семейства вредоносов.

Почему это важно для владельцев устройств Apple

macOS долгое время воспринималась как относительно безопасная платформа по сравнению с другими ОС. Появление ориентированных на Mac stealer, таких как Mac.c, меняет ситуацию: значительная часть атак теперь нацелена на пользователей Apple, особенно тех, кто хранит цифровые активы.

Кроме того, низкая стоимость подписки и модульная коммерческая модель создают благоприятные условия для увеличения числа злоумышленников, предлагающих свои услуги на даркнете, что может привести к усилению конфликтов за «рынок» между группами и отдельными авторами вредоносов и ransomware-активистами.

Рекомендации по защите

Эксперты по кибербезопасности советуют пользователям macOS принять следующие меры предосторожности:

• Всегда держать систему и ПО в актуальном состоянии — включить автоматические обновления macOS и приложений.
• Осторожно относиться к письмам и ссылкам из неизвестных источников; не загружать вложения и не запускать скачанные файлы без проверки.
• Проверять цифровые подписи и источник приложений; использовать App Store и проверенные источники ПО.
• Не вводить seed-фразы или приватные ключи в приложения и браузеры; при работе с аппаратными кошельками (Trezor и т. п.) следовать официальным инструкциям производителя.
• Использовать надежные пароли и двухфакторную аутентификацию там, где это возможно.
• Рассмотреть использование EDR/antivirus решений, которые умеют обнаруживать поведенческие индикаторы атак и вредоносные модификации.
• Для организаций — внедрить обучение сотрудников по фишингу и процедуры реагирования на инциденты.

Вывод

Появление Mac.c свидетельствует о переходе угроз на платформу macOS и о том, что киберпреступники делают ставку на более доступные инструменты с коммерческой моделью «as-a-service». Для владельцев устройств Apple это означает необходимость повышенной бдительности и системной работы по защите информации и криптоактивов.

Moonlock Lab продолжает мониторинг ситуации. Пользователям рекомендуется следить за обновлениями от проверенных исследовательских групп и соблюдать базовые правила цифровой гигиены.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.