نسخه جدیدی از بدافزار PamStealer از طریق وب‌سایت‌های جعلی دانلود کیف پول‌های ارز دیجیتال (Cryptocurrency Wallet) کاربران سیستم‌عامل macOS را هدف قرار داده است. این حمله با استفاده از یک وب‌سایت متقاعدکننده آغاز می‌شود که از کاربر می‌خواهد برای نصب برنامه، دستورالعمل‌های خاصی را اجرا کند.
مکانیسم عفونی و دور زدن تحلیلگران
در این کمپین، مهاجمان از یک استراتژی پیشرفته برای دشوار کردن تحلیل بدافزار استفاده کرده‌اند. به جای قرار دادن مستقیم فایل مخرب در بسته دانلود، این بدافزار برای باز کردن مراحل بعدی به ارتباط زنده با یک سرور تحت کنترل مهاجم (C2 Server) وابسته است. این رویکرد باعث می‌شود محققان نتوانند بدون دسترسی به سرور فعال، Payload را به‌صورت آفلاین استخراج و تحلیل کنند.
روند حمله به شرح زیر است:
- کاربر یک Disk Image (فایل .dmg) را دانلود می‌کند که حاوی یک اسکریپت کامپایل شده با نامی تقریباً نامرئی است.
- پس از اجرای اسکریپت توسط کاربر، یک زنجیره مخفی در پس‌زمینه فعال شده و ابزار رمزگشایی را از سرور دانلود می‌کند.
- بدافزار با حذف Quarantine Flag و اعمال یک امضای دیجیتال جعلی (Ad hoc signature)، خود را به عنوان یک جزء سیستمی مک نصب می‌کند تا شناسایی نشود.
سرقت داده‌ها و تداوم در سیستم (Persistence)
نسخه جدید PamStealer برخلاف نسخه‌های قبلی که با زبان Rust نوشته شده بودند، اکنون با زبان Swift توسعه یافته است. این بدافزار با نمایش یک پنجره جعلی درخواست رمز عبور (Password Prompt) و سپس نمایش خطای «برنامه آسیب دیده»، کاربر را فریب می‌دهد تا رمز عبور خود را وارد کند.
قابلیت‌های کلیدی این بدافزار عبارتند از:
- سرقت رمزهای عبور: دسترسی به Keychain مک و کپی کردن دیتابیس‌های رمز عبور.
- هدف قرار دادن مرورگرها: استخراج اطلاعات حساس از دیتابیس‌های ۱۷ مرورگر مختلف.
- جمع‌آوری اطلاعات سیستمی: سرقت تاریخچه Shell، جزئیات سیستم و عکس پروفایل کاربر.
- مکانیزم‌های بازیابی: استفاده از Git hooks و تغییر در فایل
.zshrcبرای بازسازی بخش‌های حذف شده توسط آنتی‌ویروس یا کاربر.
توصیه‌های امنیتی
به کاربران مک توصیه می‌شود از دانلود نرم‌افزارها از منابع غیررسمی اجتناب کرده و هرگونه درخواست اجرای اسکریپت‌های ناشناس را نادیده بگیرند. مدیران SOC و تیم‌های دفاعی باید کنترل‌های وب را برای مسدود کردن دامنه‌های مرتبط با این کمپین فعال کرده و در صورت مشاهده هرگونه فعالیت مشکوک در LaunchAgents، اقدام به بازنشانی رمزهای عبور از طریق یک دستگاه پاکسازی شده نمایند.
