Una nueva variante del malware SHub llamada Reaper ataca usuarios de macOS suplantando a Apple, Microsoft y Google para robar credenciales y billeteras de criptomonedas. A diferencia de versiones anteriores, utiliza el Editor de Scripts de Apple para evadir defensas y engañar al usuario mediante falsos instaladores. Además de extraer datos sensibles, crea una puerta trasera persistente que permite a los atacantes ejecutar código remoto en el dispositivo infectado.

Una nueva variante de infostealer se dirige a los usuarios de macOS suplantando a Apple, Microsoft y Google, y luego comienza a buscar los gestores de contraseñas de las víctimas para robar todas sus credenciales y acceder a carteras de criptomonedas como MetaMask y Phantom.

La variante actualizada del stealer SHub se llama Reaper, y utiliza el Editor de Scripts de macOS, precargado con la carga útil maliciosa para ejecutar el malware, según Phil Stokes, ingeniero de investigación de SentinelOne, quien documentó el ataque en un blog el lunes.

Pero a diferencia de las versiones anteriores de SHub [enlace] y campañas similares de stealers para macOS que dependen de tácticas de ingeniería social ClickFix para engañar al usuario y lograr que pegue un comando de ScriptEditor en la interfaz de línea de comandos de la Terminal de Apple, Reaper omite la Terminal por completo y, por lo tanto, derrota las defensas que Apple añadió a Tahoe 26.4 [enlace] .

El ataque comienza con sitios web

El ataque comienza con sitios web falsos de instalación de WeChat y Miro, alojados en un dominio diseñado para generar confianza en los usuarios mediante el typo-squatting de una URL de Microsoft: mlcrosoft[.]co[.]com.

Cuando un usuario visita estas páginas, un JavaScript oculto recopila una gran cantidad de información sobre su sistema y navegador, incluyendo la dirección IP, la ubicación, datos de huella digital WebGL e indicadores de máquinas virtuales o VPN. El ataque se detiene si la víctima se encuentra en Rusia.

Suponiendo que la máquina esté ubicada en otro lugar y el usuario haga clic en el instalador de la herramienta falsa, se abrirá la aplicación Editor de Scripts de Apple a través de un enlace engañoso, fuertemente relleno con arte ASCII y términos falsos para empujar el comando malicioso mucho más abajo de la parte visible de la ventana cuando se carga.

Cuando la víctima hace clic en "Ejecutar" en el Editor de Scripts, el comando oculto ejecuta el AppleScript malicioso y muestra un mensaje emergente que pretende ser una actualización de seguridad para la herramienta XProtectRemediator de Apple. Sin embargo, en lugar de actualizar la herramienta de seguridad, llama a un comando curl para descargar silenciosamente el script de shell y pide a la víctima que introduzca sus datos de inicio de sesión, los cuales son recolectados y utilizados para descifrar varias credenciales [enlace] , y luego muestra un mensaje de error falso.

Las versiones anteriores de SHub recolectaban datos del navegador de los usuarios, carteras de criptomonedas, archivos de configuración relacionados con desarrolladores, datos de la cuenta iCloud y Keychain de macOS, y datos de sesión de Telegram.

Reaper hace todo esto y más.

Incluye un recolector de archivos que busca documentos que contengan información comercial o financiera en las carpetas de Escritorio y Documentos del usuario. Este enfoque es similar a la funcionalidad de robo de documentos vista en Atomic macOS Stealer [enlace] (AMOS).

El script también busca varias herramientas de criptomonedas de escritorio, incluyendo Exodus, Atomic Wallet, Ledger Wallet, Ledger Live y Trezor Suite. Si encuentra alguna, inyecta malware en la cartera para asegurar el robo continuo de fondos.

Y luego, para asegurar la persistencia, crea una puerta trasera en el dispositivo infectado mediante una estructura de directorios diseñada para imitar la actualización de software de Google: ~/Library/Application Support/Google/GoogleUpdate.app/Contents/MacOS/.

“El LaunchAgent ejecuta el script objetivo GoogleUpdate cada 60 segundos”, explica Stokes. “El script funciona como una baliza, enviando detalles del sistema al endpoint /api/bot/heartbeat del C2”.

Esto asegura que el atacante pueda ejecutar código remotamente en la máquina comprometida. Si el servidor controlado por el atacante envía una carga útil de "código", el script lo decodifica, lo escribe en un archivo oculto y ejecuta el código con los privilegios del usuario antes de eliminar el archivo.

La puerta trasera otorga a los operadores del malware “más formas de robar datos o pivotar hacia otras instalaciones maliciosas después del compromiso inicial”, advierte el cazador de amenazas.

Lo único que no hace es implorar a la banda que añada más cencerros [enlace] . ®

Fuente:
TheRegister