🔥 Fique por dentro das novidades mais quentes do momento! 🔥
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética divulgaram detalhes de um novo ladrão de informações baseado em Rust, orientado para macOS, chamado AmnesiaStealer, que é capaz de sequestrar navegadores Chromium para roubar dados de sessões.
O ladrão de vários estágios é espalhado por meio de uma página de download falsificada do GitHub intitulada “Download para macOS” e afirma ser de um editor verificado. A página emprega uma isca no estilo ClickFix que instrui os usuários a copiar e colar um comando codificado em Base64 no aplicativo macOS Terminal.
A cadeia de ataque leva, em última análise, à implantação do AmnesiaStealer por meio de um script dropper hospedado em um servidor remoto, que, de acordo com o Jamf Threat Labs, é executado em três estágios distintos.
“O primeiro é um script de shell que baixa e inicia a carga útil”, disse o pesquisador de segurança Thijs Xhaflaire em um relatório compartilhado com o The Hacker News. “O segundo é um infostealer Rust que coleta o Keychain, navegadores, Apple Notes e Telegram. O terceiro é um stream_module, obtido sob comando, que dá ao operador controle interativo e oculto do navegador da vítima.”
O script foi projetado para recuperar um arquivo ZIP protegido por senha e excluí-lo do host. Extraído do arquivo está o binário Mach-O de primeiro estágio, um ladrão de Rust que inclui uma configuração criptografada incorporada que pode ser modificada no nível de construção por meio da configuração sem fazer nenhuma alteração no código. Inclui os seguintes detalhes -
Terminais de comando e controle (C2) (ou seja, "debug.allllowef[.]space/send/")
Ative ou desative um módulo de sequestro de área de transferência (também conhecido como clipper) ("CLIPPER_ENABLED") capaz de atingir criptomoedas como Bitcoin, Bitcoin Cash, Ethereum, TRON, Litecoin, Monero, Solana, Ripple e Cosmos (ATOM).
A carga útil do Rust também realiza reconhecimento de host e perfil de geolocalização, e exibe um prompt nativo para capturar a senha do sistema sob o disfarce de um instalador. A senha inserida é validada no serviço de diretório local via dscl para garantir que apenas a senha correta seja exfiltrada.
Se a verificação falhar, será acionado um loop de diálogo com a mensagem "Senha incorreta. Tente novamente." até que a senha correta seja digitada. “Um caminho alternativo grava /tmp/tempAppleScript.scpt e invoca o osascript se o alerta nativo falhar, embora em nosso host o caminho nativo tenha sido bem-sucedido e nenhum prompt do osascript tenha sido gerado”, disse Jamf.
"A senha capturada é então reutilizada em toda a cadeia. Ela é canalizada para sudo -S para leituras privilegiadas, passada para security unlock-keychain -p e gravada no disco em texto não criptografado, tanto no diretório de teste como pwd quanto no diretório inicial do usuário como ~/.pwd."
É importante notar que esse comportamento também foi observado em outra família de ladrões de macOS, chamada ClickLock Stealer, que tem como alvo usuários localizados na Europa, América do Norte, Oriente Médio e África por meio de páginas de phishing que empregam a técnica ClickFix.
Também está presente um arquivo AppleScript que silencia o som do sistema e, em seguida, coleta dados do Apple Notes, sessões do Telegram, Safari, arquivos que correspondem a determinadas extensões (.txt, .pdf, .rtf, .doc, .wallet, .key, .jpg, .png e .csv) nas pastas ~/Desktop, ~/Documents e ~/Download e iCloud Keychain usando a senha do sistema capturada.
Algumas das outras ações realizadas pelo ladrão são as seguintes:
Almeje 16 navegadores da família Chromium, incluindo Google Chrome, Brave, Arc e Microsoft Edge, para coletar cookies, dados de login,
Dados de login para conta, dados da web, histórico, favoritos, estado local, preferências e diretório de extensões.
Leia a senha do Chrome Safe Storage no Keychain e use-a para recuperar chaves mestras usadas para proteger os dados armazenados na pasta de perfil do Chrome de um usuário.
Roube cookies do Safari com base na versão macOS, usando uma falha de bypass TCC (CVE-2020-9771) para atingir máquinas macOS executando Catalina. A técnica também funciona no macOS 26, mas apenas quando o malware possui acesso total ao disco (o que não acontece).
Estabeleça a persistência por meio de um LaunchDaemon raiz que representa o serviço de relatórios de falhas da Apple.
Prepare os dados coletados em um diretório nomeado com 25 caracteres alfanuméricos aleatórios em "/tmp" e, em seguida, arquive-os e exfiltre-os.
Além disso, o comando "remote_stream" emitido pelo servidor C2 torna-se um gatilho para a carga útil do primeiro estágio buscar e executar um segundo binário Rust da mesma infraestrutura que permite o controle remoto interativo sobre o protocolo Chrome DevTools (CDP).
O módulo suporta sete navegadores da família Chromium, nomeadamente Chrome, Brave, Microsoft Edge, Arc, Opera, Vivaldi e Chromium, e inicia o executável do navegador no modo headless para roubar dados relacionados ao navegador. Ele também gera um canal de retransmissão usando WebSocket para aceitar comandos do operador e relatar o status ao mesmo terminal. Os comandos permitem que o agente da ameaça controle remotamente
O ladrão de vários estágios é espalhado por meio de uma página de download falsificada do GitHub intitulada “Download para macOS” e afirma ser de um editor verificado. A página emprega uma isca no estilo ClickFix que instrui os usuários a copiar e colar um comando codificado em Base64 no aplicativo macOS Terminal.
A cadeia de ataque leva, em última análise, à implantação do AmnesiaStealer por meio de um script dropper hospedado em um servidor remoto, que, de acordo com o Jamf Threat Labs, é executado em três estágios distintos.
“O primeiro é um script de shell que baixa e inicia a carga útil”, disse o pesquisador de segurança Thijs Xhaflaire em um relatório compartilhado com o The Hacker News. “O segundo é um infostealer Rust que coleta o Keychain, navegadores, Apple Notes e Telegram. O terceiro é um stream_module, obtido sob comando, que dá ao operador controle interativo e oculto do navegador da vítima.”
O script foi projetado para recuperar um arquivo ZIP protegido por senha e excluí-lo do host. Extraído do arquivo está o binário Mach-O de primeiro estágio, um ladrão de Rust que inclui uma configuração criptografada incorporada que pode ser modificada no nível de construção por meio da configuração sem fazer nenhuma alteração no código. Inclui os seguintes detalhes -
Terminais de comando e controle (C2) (ou seja, "debug.allllowef[.]space/send/")
Ative ou desative um módulo de sequestro de área de transferência (também conhecido como clipper) ("CLIPPER_ENABLED") capaz de atingir criptomoedas como Bitcoin, Bitcoin Cash, Ethereum, TRON, Litecoin, Monero, Solana, Ripple e Cosmos (ATOM).
A carga útil do Rust também realiza reconhecimento de host e perfil de geolocalização, e exibe um prompt nativo para capturar a senha do sistema sob o disfarce de um instalador. A senha inserida é validada no serviço de diretório local via dscl para garantir que apenas a senha correta seja exfiltrada.
Se a verificação falhar, será acionado um loop de diálogo com a mensagem "Senha incorreta. Tente novamente." até que a senha correta seja digitada. “Um caminho alternativo grava /tmp/tempAppleScript.scpt e invoca o osascript se o alerta nativo falhar, embora em nosso host o caminho nativo tenha sido bem-sucedido e nenhum prompt do osascript tenha sido gerado”, disse Jamf.
"A senha capturada é então reutilizada em toda a cadeia. Ela é canalizada para sudo -S para leituras privilegiadas, passada para security unlock-keychain -p e gravada no disco em texto não criptografado, tanto no diretório de teste como pwd quanto no diretório inicial do usuário como ~/.pwd."
É importante notar que esse comportamento também foi observado em outra família de ladrões de macOS, chamada ClickLock Stealer, que tem como alvo usuários localizados na Europa, América do Norte, Oriente Médio e África por meio de páginas de phishing que empregam a técnica ClickFix.
Também está presente um arquivo AppleScript que silencia o som do sistema e, em seguida, coleta dados do Apple Notes, sessões do Telegram, Safari, arquivos que correspondem a determinadas extensões (.txt, .pdf, .rtf, .doc, .wallet, .key, .jpg, .png e .csv) nas pastas ~/Desktop, ~/Documents e ~/Download e iCloud Keychain usando a senha do sistema capturada.
Algumas das outras ações realizadas pelo ladrão são as seguintes:
Almeje 16 navegadores da família Chromium, incluindo Google Chrome, Brave, Arc e Microsoft Edge, para coletar cookies, dados de login,
Dados de login para conta, dados da web, histórico, favoritos, estado local, preferências e diretório de extensões.
Leia a senha do Chrome Safe Storage no Keychain e use-a para recuperar chaves mestras usadas para proteger os dados armazenados na pasta de perfil do Chrome de um usuário.
Roube cookies do Safari com base na versão macOS, usando uma falha de bypass TCC (CVE-2020-9771) para atingir máquinas macOS executando Catalina. A técnica também funciona no macOS 26, mas apenas quando o malware possui acesso total ao disco (o que não acontece).
Estabeleça a persistência por meio de um LaunchDaemon raiz que representa o serviço de relatórios de falhas da Apple.
Prepare os dados coletados em um diretório nomeado com 25 caracteres alfanuméricos aleatórios em "/tmp" e, em seguida, arquive-os e exfiltre-os.
Além disso, o comando "remote_stream" emitido pelo servidor C2 torna-se um gatilho para a carga útil do primeiro estágio buscar e executar um segundo binário Rust da mesma infraestrutura que permite o controle remoto interativo sobre o protocolo Chrome DevTools (CDP).
O módulo suporta sete navegadores da família Chromium, nomeadamente Chrome, Brave, Microsoft Edge, Arc, Opera, Vivaldi e Chromium, e inicia o executável do navegador no modo headless para roubar dados relacionados ao navegador. Ele também gera um canal de retransmissão usando WebSocket para aceitar comandos do operador e relatar o status ao mesmo terminal. Os comandos permitem que o agente da ameaça controle remotamente
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #amnesiastealer #sequestra #sessões #do #chromium #para #fornecer #aos #invasores #controle #ao #vivo #do #navegador #no #macos
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário