FrigidStealer. Nowy złodziej na macOS omija Gatekeepera i kradnie dane użytkowników

Przez lata użytkownicy komputerów Apple żyli w przekonaniu, iż macOS jest znacznie bezpieczniejszy od Windowsa i rzadziej staje się celem cyberprzestępców. Choć system rzeczywiście posiada rozbudowane mechanizmy ochrony, takie jak Gatekeeper czy XProtect, rosnąca popularność komputerów Mac sprawia, iż coraz częściej pojawiają się zagrożenia tworzone specjalnie z myślą o tym środowisku.

Jednym z najnowszych przykładów jest FrigidStealer – infostealer przeznaczony dla systemu macOS, potrafiący ominąć mechanizmy ochronne Apple, a następnie wykraść hasła, pliki cookie, portfele kryptowalutowe oraz wiele innych wrażliwych informacji. Analiza opublikowana przez Picus Security pokazuje, iż malware został przygotowany bardzo starannie i wykorzystuje techniki, które coraz częściej pojawiają się w nowoczesnych kampaniach wymierzonych w użytkowników komputerów Apple.

Atak zaczyna się od fałszywej aktualizacji

FrigidStealer nie korzysta z podatności w systemie operacyjnym do automatycznego zainfekowania komputera.

Zamiast tego operatorzy stawiają na socjotechnikę. Ofiara trafia na spreparowaną stronę internetową, która podszywa się pod legalny serwis i wyświetla komunikat informujący o konieczności zainstalowania aktualizacji przeglądarki lub komponentu systemowego.

Najczęściej wykorzystywane są fałszywe aktualizacje Google Chrome lub Safari. Po pobraniu archiwum DMG użytkownik otwiera aplikację, wierząc, iż instaluje oficjalną aktualizację. W rzeczywistości uruchamiany jest malware.

To klasyczny przykład kampanii typu ClickFix, które w ostatnich miesiącach stały się niezwykle popularne również poza środowiskiem Windows.

Ominięcie Gatekeepera

Jednym z najciekawszych elementów całego ataku jest sposób obejścia mechanizmu Gatekeeper.

Gatekeeper odpowiada za weryfikację podpisów cyfrowych oraz sprawdzanie, czy aplikacja pochodzi od zaufanego dewelopera. W normalnych warunkach użytkownik otrzyma ostrzeżenie przed uruchomieniem niezweryfikowanego programu.

FrigidStealer wykorzystuje jednak sposób dystrybucji powodujący, iż część zabezpieczeń nie działa tak, jak oczekiwaliby użytkownicy. Malware jest dostarczany w odpowiednio przygotowanym obrazie DMG, a następnie nakłania do manualnego uruchomienia aplikacji i zaakceptowania wyświetlanych komunikatów.

W praktyce oznacza to, iż zabezpieczenia techniczne zostają pokonane nie przez exploit, ale przez odpowiednio zaplanowaną socjotechnikę.

Kradzież danych z przeglądarek

Po uruchomieniu malware rozpoczyna szczegółową analizę systemu.

Pierwszym celem są przeglądarki internetowe. FrigidStealer wyszukuje zapisane hasła, pliki cookie sesji, historię przeglądania oraz dane formularzy przechowywane lokalnie przez Safari, Google Chrome, Microsoft Edge, Brave i inne przeglądarki oparte na Chromium.

Szczególnie niebezpieczne jest zdobycie plików cookie. W wielu przypadkach pozwala na przejęcie aktywnej sesji użytkownika bez konieczności znajomości hasła czy jednorazowego kodu MFA. To właśnie dlatego infostealery coraz częściej koncentrują się na kradzieży tokenów sesyjnych zamiast samych danych logowania.

Portfele kryptowalut wciąż są atrakcyjnym celem

Jak większość współczesnych infostealerów, FrigidStealer posiada również moduły odpowiedzialne za wyszukiwanie portfeli kryptowalutowych.

Malware analizuje katalogi popularnych aplikacji oraz rozszerzeń przeglądarek, próbując odnaleźć pliki zawierające klucze prywatne, konfiguracje portfeli oraz dane umożliwiające odzyskanie dostępu do środków.

Cyberprzestępcy doskonale wiedzą, iż przejęcie jednego portfela może przynieść znacznie większy zysk niż kradzież danych logowania do zwykłego konta użytkownika.

Lista przechwytywanych danych nie kończy się na hasłach.

FrigidStealer pobiera informacje o konfiguracji systemu, wersji macOS, nazwie urządzenia, zainstalowanych aplikacjach, aktywnych procesach oraz konfiguracji sieciowej. Takie dane pozwalają operatorom ocenić wartość zainfekowanego komputera i zdecydować, czy warto dostarczyć kolejne komponenty malware.

To coraz częściej spotykany model działania. Infostealer pełni rolę pierwszego etapu ataku, a zebrane informacje decydują o tym, czy ofiara stanie się celem ransomware, kampanii cyberszpiegowskiej lub dalszej kradzieży danych.

Jak wygląda komunikacja z serwerem C2?

Po zakończeniu zbierania danych malware przygotowuje archiwum zawierające wszystkie wykradzione informacje i przesyła je do serwera Command & Control.

Badacze zauważyli, iż komunikacja odbywa się przy użyciu szyfrowanych połączeń HTTPS, dzięki czemu ruch sieciowy wygląda podobnie do zwykłej komunikacji internetowej. Samo wykrycie transferu danych wyłącznie na podstawie analizy ruchu sieciowego może być więc bardzo trudne.

Coraz większego znaczenia nabiera w związku z tym analiza zachowania procesów oraz monitorowanie nietypowego dostępu do plików przeglądarek i katalogów użytkownika.

Jak się chronić?

Pierwszym sygnałem ostrzegawczym powinno być uruchamianie aplikacji pochodzących z obrazów DMG pobranych z nieznanych stron internetowych. W środowiskach firmowych warto monitorować uruchamianie procesów spoza katalogu /Applications, nietypowy dostęp do baz danych przeglądarek oraz odczyt plików zawierających zapisane hasła i pliki cookie.

W rozwiązaniach EDR warto zwracać uwagę na procesy, które w krótkim czasie uzyskują dostęp do wielu katalogów użytkownika, archiwizują dane, a następnie inicjują połączenia HTTPS do nieznanych domen. Tego typu sekwencja zdarzeń jest charakterystyczna dla większości współczesnych infostealerów.

Podsumowanie

Jeszcze kilka lat temu większość twórców malware koncentrowała się niemal wyłącznie na systemie Windows. w tej chwili sytuacja wygląda zupełnie inaczej. Coraz więcej firm korzysta z komputerów Apple, a użytkownicy macOS często przechowują na swoich urządzeniach dane służbowe, dostęp do chmury czy portfeli kryptowalutowych.

Dla cyberprzestępców oznacza to większy potencjalny zysk. Nic więc dziwnego, iż liczba infostealerów przeznaczonych dla macOS systematycznie rośnie, a ich możliwości coraz bardziej przypominają narzędzia znane wcześniej z ekosystemu Windows.

FrigidStealer pokazuje, iż współczesne zagrożenia dla macOS coraz rzadziej próbują łamać zabezpieczenia systemowe siłą. Znacznie skuteczniejszą metodą okazuje się wykorzystanie socjotechniki i nakłonienie użytkownika do samodzielnego uruchomienia złośliwego programu. Po obejściu tej pierwszej bariery malware działa jak typowy infostealer – kradnie hasła, pliki cookie, dane przeglądarek oraz portfeli kryptowalutowych, a następnie przesyła je do operatorów.

To kolejny dowód na to, iż bezpieczeństwo komputera nie zależy wyłącznie od systemu operacyjnego. choćby najlepiej zaprojektowane mechanizmy ochronne nie pomogą, jeżeli użytkownik sam zgodzi się na uruchomienie złośliwej aplikacji.