Вредоносное ПО Reaper захватывает Script Editor для опустошения криптокошельков на macOS
- Reaper — это инфостилер для macOS, распространяющийся через поддельные страницы загрузки WeChat и Miro.
- Вредонос атакует криптокошельки, такие как Ledger, Trezor и Exodus, пароли браузеров и конфиденциальные документы.
- Это третья кампания менее чем за два месяца, использующая автоматизированную версию ClickFix против пользователей Mac.
Новый тип вредоносного ПО для Mac под названием Reaper распространяется через поддельные страницы загрузки для таких приложений, как WeChat и Miro. После проникновения оно крадет данные криптокошельков и сохраненные пароли браузера.
Это более умная версия старой уловки, которая раньше заставляла людей вставлять вредоносные команды в Terminal. Apple устранила эту уязвимость в недавнем обновлении macOS, но Reaper нашел способ обойти ее, используя другой встроенный инструмент Apple для нанесения того же ущерба.
Script Editor заменяет Terminal как поверхность для вредоносного ПО
Поддельные сайты загрузки активируют Script Editor через AppleScript applescript:// URL.
Вредоносный код невидим. Атакующие скрывают его с помощью ASCII-арта и пробелов. Если пользователь нажимает кнопку воспроизведения в Script Editor, он непреднамеренно запускает скрытые команды.
Script Editor предустановлен на каждом компьютере Mac. Большинство людей не ассоциируют его с вирусами.
Домены с опечатками и поддельные обновления Apple формируют доверие
Атака начинается на поддельных доменах, которые выглядят легитимно для потенциальных жертв. Исследователи безопасности обнаружили инфраструктуру, размещенную на доменах Microsoft с опечатками, включая mlcrosoft[.]co[.]com.
После запуска скрипта мошенническое диалоговое окно обновления безопасности Apple предлагает жертве ввести пароль от компьютера.
Затем Reaper проверяет раскладку клавиатуры системы. Если клавиатура настроена на русский язык, вредоносное ПО останавливается. Если нет, активируется модуль кражи данных, основанный на Atomic macOS Stealer (AMOS).
Целью становятся криптокошельки, браузеры и документы
Reaper нацелен на настольные криптоприложения, включая Ledger Live, Trezor Suite и Exodus. Вредоносное ПО изменяет внутренний код криптокошельков, чтобы перехватывать будущие транзакции и перенаправлять средства.
Стилер также собирает сохраненные учетные данные из Chrome, Firefox и Edge. Он извлекает данные из расширений браузера, таких как 1Password и MetaMask.
Файлы с .docx, .pdf, .xlsx, .wallet, и .keys расширениями, найденными в папках «Рабочий стол» и «Документы», сжимаются в ZIP-архивы объемом 70 МБ и загружаются на внешний сервер команд и управления.
Для обеспечения устойчивости атаки Reaper устанавливает бэкдор, замаскированный под каталог Google Software Update.
По анализу Moonlock, Reaper является третьей кампанией за примерно два месяца, которая использует этот автоматизированный подход с AppleScript.
Команда исследователей безопасности Microsoft Defender задокументировала связанную серию кампаний, включающих поддельные руководства по устранению неполадок macOS, размещенные на платформах Medium, Craft и Squarespace, о которых ранее сообщалось в Cryptopolitan reported.
Эти кампании использовали один и тот же подход ClickFix для доставки AMOS, Macsync и SHub Stealer через команды Terminal. Подлинные приложения для кошельков удалялись и незаметно заменялись вредоносными версиями, согласно сообщению Cryptopolitan.
Перед установкой чего-либо нового дважды проверяйте ссылки для загрузки. Если всплывающее окно неожиданно запрашивает пароль от вашего Mac, не вводите его. Хороший инструмент безопасности обнаружит зашифрованные скрипты до того, как они нанесут ущерб. Если какой-либо сайт когда-либо попросит вас открыть Script Editor, закройте вкладку.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Часто задаваемые вопросы
Что такое вредоносное ПО Reaper для macOS?
Reaper — обновленная версия SHub Stealer, использующая Script Editor от Apple для выполнения скрытого вредоносного кода. Он ищет криптокошельки, учетные данные браузеров и личные документы.
Какие криптокошельки атакует Reaper?
Reaper атакует десктопные приложения Ledger Live, Trezor Suite и Exodus, а также расширения браузеров, такие как MetaMask и 1Password.
Как Reaper обходит защиту терминала Apple macOS?
Reaper обходит Terminal и использует URL-схему для открытия Script Editor. Вредоносный код скрыт за пределами видимой области экрана с помощью пробелов, и жертвы неосознанно запускают его, нажимая кнопку «Play».
Ранда Моуз
Ранда Мозес — редактор и репортёр Cryptopolitan, освещающая технологии, ИИ, робототехнику, криптовалюты, мошенничество и взломы. Она работает в сфере криптовалют с 2017 года. Ранда занимала должности в Forward Protocol, AmaZix и Cryptosomniac. Ранда имеет степень в области электротехники и электроники, полученную в Университете Брэдфорда.
