Il malware Reaper dirottano l'Editor Script per svuotare i portafogli crypto su macOS
- Reaper è un infostealer per macOS che si diffonde tramite pagine di download false per WeChat e Miro.
- Il malware prende di mira portafogli crypto come Ledger, Trezor ed Exodus, le password del browser e documenti sensibili.
- Questa è la terza campagna in meno di due mesi a utilizzare questa variante automatizzata di ClickFix contro gli utenti Mac.
Un nuovo tipo di malware per Mac chiamato Reaper si sta diffondendo attraverso pagine di download false per app come WeChat e Miro. Una volta entrato, ruba i dati dei wallet crittografici e le password dei browser salvate.
È una versione più intelligente di un vecchio trucco che un tempo ingannava le persone facendole incollare comandi dannosi nel Terminale. Apple ha patchato quella falla in un recente aggiornamento di macOS, ma Reaper ha trovato un modo per aggirarla, utilizzando un diverso strumento integrato di Apple per causare lo stesso danno.
Script Editor sostituisce il Terminale come superficie di attacco del malware
I siti di download falsi attivano Script Editor tramite un AppleScript applescript:// URL.
Il codice dannoso è invisibile. Gli attaccanti lo nascondono utilizzando arte ASCII e spazi bianchi. Se un utente fa clic sul pulsante di riproduzione in Script Editor, esegue inconsapevolmente comandi nascosti.
Script Editor è preinstallato su ogni computer Mac. La maggior parte delle persone non associa questo strumento ai virus.
Domini typosquatted e falsi aggiornamenti Apple costruiscono fiducia
L'attacco inizia su domini falsi che sembrano legittimi alle potenziali vittime. I ricercatori di sicurezza hanno scoperto infrastrutture ospitate su domini Microsoft typosquatted, inclusi mlcrosoft[.]co[.]com.
Una volta eseguito lo script, una finestra di dialogo fraudolenta di aggiornamento della sicurezza Apple chiede alla vittima di inserire la password del computer.
Reaper controlla quindi il layout della tastiera del sistema. Se la tastiera è configurata per la lingua russa, il malware si ferma. Se non lo è, il malware attiva un modulo di furto di dati modellato su Atomic macOS Stealer (AMOS).
I wallet crittografici, i browser e i documenti sono tutti presi di mira
Reaper punta alle applicazioni desktop di criptovalute, tra cui Ledger Live, Trezor Suite ed Exodus. Il malware modifica il codice interno dei wallet crittografici per intercettare le transazioni future e reindirizzare i fondi.
Lo stealer raccoglie anche le credenziali salvate da Chrome, Firefox ed Edge. Estrae dati anche dalle estensioni del browser come 1Password e MetaMask.
File con .docx, .pdf, .xlsx, .wallet, e .keys estensioni trovate nelle cartelle Desktop e Documenti vengono compressi in chunk ZIP da 70MB e caricati su un server di comando e controllo esterno.
Per un attacco persistente, Reaper installa una backdoor mascherata da directory di aggiornamento software di Google.
Reaper è la terza campagna nell'arco di circa due mesi ad adottare questo approccio automatizzato con AppleScript, secondo l'analisi di Moonlock.
Il team di ricerca sulla sicurezza di Microsoft Defender ha documentato una serie correlata di campagne che coinvolgono guide di risoluzione dei problemi false per macOS pubblicate su Medium, Craft e Squarespace, che Cryptopolitan aveva precedentemente riportato.
Quelle campagne hanno utilizzato lo stesso approccio ClickFix per consegnare AMOS, Macsync e SHub Stealer tramite comandi del Terminale. Le app wallet genuine sono state eliminate e sostituite silenziosamente con versioni malevole, secondo Cryptopolitan.
Verifica sempre i link di download prima di installare qualsiasi cosa nuova. Se un popup chiede inaspettatamente la password del tuo Mac, non inserirla. Un buon strumento di sicurezza catturerà gli script offuscati prima che causino danni. Se un sito web ti dice mai di aprire Script Editor, chiudi la scheda.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Domande frequenti
Cos'è il malware Reaper per macOS?
Reaper è una variante aggiornata di SHub Stealer che utilizza l'Editor Script di Apple per eseguire codice malevolo nascosto. Cerca portafogli crypto, credenziali del browser e documenti personali.
Quali portafogli criptati prende di mira Reaper?
Reaper prende di mira le applicazioni desktop Ledger Live, Trezor Suite ed Exodus, insieme alle estensioni del browser come MetaMask e 1Password.
Come bypassa Reaper le protezioni del Terminale di Apple su macOS?
Reaper evita il Terminale e utilizza uno schema URL per aprire l'Editor Script. Il codice malevolo è nascosto sotto lo schermo visibile con spazi bianchi, e le vittime lo eseguono inconsapevolmente cliccando su play.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
