Фейковые посты по устранению неполадок macOS устанавливают крадущие кошельки криптовалюты
- Злоумышленники публикуют поддельные руководства по устранению неполадок macOS, чтобы заставить пользователей выполнять вредоносные команды в Терминале и красть криптовалюту.
- Кампания активна с конца 2025 года и обходит Gatekeeper, поскольку жертвы самостоятельно выполняют вредоносные команды.
- В macOS 26.4 Apple добавила защиту, блокирующую вставку команд, помеченных как потенциально вредоносные, в Терминал.
Злоумышленники размещают поддельные руководства по устранению неполадок macOS на платформах Medium, Craft и Squarespace. Цель — заставить пользователей запускать команды в Terminal, которые устанавливают вредоносное ПО, нацеленное на данные iCloud, сохраненные пароли и криптокошельки.
Команда Microsoft Defender Security Research Team опубликовала результаты расследования. Кампания действует с конца 2025 года. Она нацелена на пользователей Mac, ищущих помощь с распространенными проблемами, такими как освобождение места на диске или исправление системных ошибок.
Вместо того чтобы предложить законное решение, страницы говорят пользователям скопировать команду и вставить ее в Terminal. Эта команда загружает и запускает вредоносное ПО.
Вводящие в заблуждение сообщения в блогах говорят читателям скопировать вредоносную команду и вставить ее в Terminal. Эта команда загружает вредоносное ПО и запускает его на компьютере жертвы.
Эта техника называется ClickFix. Это социальная инженерия, которая перекладывает ответственность за запуск полезной нагрузки на жертву. Поскольку пользователь запускает команду непосредственно в Terminal, macOS Gatekeeper никогда не проверяет полезную нагрузку.
Gatekeeper обычно проверяет подпись кода и нотариальное заверение для пакетов приложений, открытых через Finder, но этот метод полностью обходит его.
Злоумышленники запустили три кампании с одной целью
Microsoft обнаружила три установщика кампаний:
- Загрузчик.
- Скрипт.
- Вспомогательный инструмент.
Все три собирают конфиденциальные данные, обеспечивают постоянство присутствия и передают украденную информацию на серверы злоумышленников.
Семейства вредоносных программ включают AMOS, Macsync и SHub Stealer. Если установлено любое из трех вредоносных программ, оно нацеливается на данные аккаунтов iCloud и Telegram. Затем оно ищет частные документы и фотографии размером менее 2 МБ. И оно извлекает ключи криптокошельков из Exodus, Ledger и Trezor, а также крадет сохраненные имена пользователей и пароли из Chrome и Firefox.
После установки вредоносное ПО выдает поддельный диалог и запрашивает системный пароль для установки «вспомогательного инструмента». Если пользователь вводит пароль, злоумышленник получает полный доступ к файлам и настройкам системы.
В некоторых случаях исследователи обнаружили, что злоумышленники удаляли законные приложения криптокошельков и заменяли их троянизированными версиями, предназначенными для мониторинга транзакций и кражи средств.
Trezor Suite, Ledger Wallet и Exodus были одними из основных приложений, нацеленных в этой атаке.
Кампания загрузчика также включает переключатель уничтожения. Вредоносное ПО прекращает выполнение, если обнаруживает русскую раскладку клавиатуры.
Исследователи безопасности наблюдали, как злоумышленники используют curl, osascript и другие нативные утилиты macOS для запуска полезной нагрузки непосредственно в памяти. Это безфайловый подход, который затрудняет обнаружение стандартными антивирусными инструментами.
Злоумышленники нацеливаются на разработчиков крипто
Исследователи безопасности из ANY[.]RUN обнаружили операцию группы Lazarus под названием «Mach-O Man». Хакеры использовали ту же технику ClickFix через поддельные приглашения на встречи. Они нацеливались на финтех- и крипто-машины, где широко используется macOS.
Cryptopolitan опубликовал информацию о кампании PromptMink.
Вредоносный пакет npm был внедрен в проект крипто-трейдинга северокорейской группой Famous Chollima с помощью изменения, сгенерированного ИИ. Используя двухуровневый подход к пакетам, вредоносное ПО получило доступ к данным кошелька и системным секретам.
Обе кампании показывают, что данные криптокошельков ценны. Злоумышленники адаптируют свои методы доставки: от поддельных сообщений в блогах до компрометации цепочки поставок с помощью ИИ, чтобы получить к ним доступ.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Часто задаваемые вопросы
Что такое ClickFix и как он работает на macOS?
ClickFix — это атака социальной инженерии, которая заставляет пользователей копировать и вставлять команду в Терминал для загрузки и выполнения вредоносного ПО.
Какие криптокошельки подвергаются атаке в этой кампании с вредоносным ПО?
Основные цели: Exodus, Ledger и Trezor. В некоторых случаях злоумышленники удаляли настоящие кошельки и заменяли их троянизированными приложениями.
Выпустила ли Apple исправление для атаки ClickFix через терминал?
В macOS 26.4 Apple добавила защиту, блокирующую вставку команд, помеченных как потенциально вредоносные, в Терминал. Появляется предупреждение: «Possible malware, Paste blocked.»
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ранда Моуз
Ранда Мозес — редактор и репортёр Cryptopolitan, освещающая технологии, ИИ, робототехнику, криптовалюты, мошенничество и взломы. Она работает в сфере криптовалют с 2017 года. Ранда занимала должности в Forward Protocol, AmaZix и Cryptosomniac. Ранда имеет степень в области электротехники и электроники, полученную в Университете Брэдфорда.
