Aplikasi Papan Klip Palsu Mac Menyebarkan Malware Pencuri Kata Sandi Baru

Pengguna Mac yang mencari manajer papan klip sumber terbuka Maccy menjadi target versi palsu dari aplikasi tersebut yang menginstal infostealer baru berbasis Rust yang disebut PamStealer, menurut firma keamanan siber Jamf Threat Labs. Jika berhasil, malware ini dapat mencuri kata sandi pengguna dan kunci dompet kripto.

Dalam laporan yang diterbitkan pada hari Kamis, Jamf Threat Labs mengatakan bahwa kampanye ini menggunakan situs web yang mirip untuk mendistribusikan gambar disk yang berisi file AppleScript berbahaya bernama Maccy.scpt. Ketika dibuka, file tersebut menampilkan instruksi yang memberitahu pengguna untuk menjalankannya di Editor Skrip Apple sambil menyembunyikan kode berbahaya lebih jauh ke bawah dokumen.

"Kami melacak malware ini dengan nama PamStealer setelah salah satu perilakunya yang utama: memvalidasi kata sandi login korban melalui Modul Autentikasi yang Dapat Dicolokkan (PAM) macOS sebelum mengumpulkannya," tulis Jamf Threat Labs.

Dari sana, malware ini menggunakan JavaScript untuk Otomatisasi dan API macOS asli untuk mengunduh muatan tahap kedua tanpa bergantung pada utilitas shell umum seperti curl atau zsh, mengurangi jumlah proses yang dapat diamati oleh alat keamanan.

"Dengan banyak pencuri, kami telah melihat penyerang membeli ruang iklan Google untuk menarik pengguna ke aplikasi berbahaya. Kami baru-baru ini mengamati iklan berbahaya yang dihosting di X juga," kata Direktur Jamf Threat Labs Jaron Bradley kepada Decrypt. "Teknik rekayasa sosial ini terbukti sangat berhasil."

Menurut laporan tersebut, tahap kedua adalah biner berbasis Rust yang dirancang untuk Mac Apple Silicon yang menyamar sebagai Finder atau Pembaruan Perangkat Lunak.

"Alih-alih menyimpan konfigurasinya dalam teks jelas, penurun mengambil kunci dari sidik jari host---termasuk arsitektur CPU, lokal, tata letak keyboard, dan zona waktu---dan menggunakannya untuk membuka konfigurasi terenkripsi yang diperiksa integritasnya yang berisi URL muatan dan jalur instalasi," kata perusahaan tersebut.

Setelah terinstal, malware ini dapat mencuri kredensial browser dan data Keychain, memantau konten papan klip, menetapkan keberlanjutan, dan mengirim informasi yang dicuri ke server perintah dan kontrol jarak jauh menggunakan komunikasi terenkripsi. Jika tidak dapat memverifikasi bahwa ia berjalan di target yang dimaksud, maka ia akan diam-diam mematikan dirinya sendiri.

Malware ini juga berusaha memperluas aksesnya dengan menampilkan peringatan Finder palsu yang meminta pengguna untuk memberikan Akses Disk Penuh. Permintaan ini dapat muncul hingga 40 menit setelah infeksi, membuatnya kurang mungkin bahwa pengguna akan mengaitkannya dengan unduhan asli. Jika disetujui, malware ini dapat mengakses data yang dilindungi, termasuk Mail, Pesan, dan cadangan Time Machine.

Menurut Bradley, Jamf belum mengamati bukti bahwa PamStealer aktif di dunia nyata; namun, perusahaan telah memberi tahu Apple tentang temuan tersebut. Apple tidak segera menanggapi permintaan komentar dari Decrypt.

Jamf mengatakan bahwa mereka melihat teknik rekayasa sosial serupa menyebar ke platform lain.

Dalam sebuah pos di X minggu lalu, perusahaan mengatakan sedang menyelidiki iklan bersponsor di X yang mempromosikan DynamicLake yang mengarahkan pengguna ke dynamicmacisland.com, di mana mereka diarahkan untuk membuka Terminal dan mengeksekusi perintah instalasi.

"Iklan tersebut disampaikan melalui akun X yang terverifikasi, menambah lapisan kepercayaan lain pada rekayasa sosial," tulis firma tersebut. "Analisis muatan mengungkapkan varian Atomic (MacSync) Stealer yang baru-baru ini."

Temuan ini muncul saat penyerang semakin menyamarkan malware sebagai perangkat lunak yang sah dan menyalahgunakan platform pengembang yang tepercaya serta saluran iklan. Kampanye terbaru telah mencakup repositori OpenAI palsu yang mencapai puncak proyek yang sedang tren di Hugging Face sebelum mendistribusikan infostealer berbasis Rust, ekstensi Visual Studio Code berbahaya yang dikatakan GitHub mengekspos sekitar 3.800 repositori internal, dan kampanye rantai pasokan perangkat lunak Shai-Hulud yang menargetkan alat pengembangan yang digunakan oleh perusahaan AI termasuk OpenAI dan Mistral AI.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.