رصدت شركة الأمن السيبراني مالويربايتس Malwarebytes حملة إعلانية ضارة تستهدف مستخدمي أنظمة ماك Mac، وهي نسخة جديدة من برنامج Atomic Stealer.
ولفتت إلى أن مواقع التصيد الاحتيالي تخدع الضحايا لتنزيل ما يعتقدون أنه التطبيق الذي يريدونه، مبينة أن المهاجمين يهدفون إلى سرقة البيانات من الضحايا ومن ثم إعادتها على الفور إلى الخادم الخاص بهم، عبر برمجيتهم الضارة.
ملخص
• تستهدف الإعلانات الضارة لعمليات بحث قول مستخدمي ماك Mac
• تخدع مواقع التصيد الاحتيالي الضحايا لتنزيل ما يعتقدون أنه التطبيق الذي يريدونه
• يتم تجميع البرامج الضارة في تطبيق مُوقع خصيصًا، لذا لا يمكن لشركة Apple إبطالها
• الحمولة هي نسخة جديدة من برنامج Atomic Stealer الحديث لنظام التشغيل OSX
مقدمة
استهدفت غالبية الحملات الإعلانية الضارة التي قمنا بتتبعها خلال الأشهر القليلة الماضية مستخدمي ويندوز. وهذا ليس مفاجئًا بالنظر إلى أن مايكروسوفت Microsoft تمتلك أكبر حصة سوقية لكل من أجهزة الكمبيوتر المكتبية والمحمولة.
ومع ذلك، قمنا مؤخرًا برصد حملة كانت تدفع البرامج الضارة لنظامي التشغيل Windows وMac، والأخيرة عبارة عن نسخة محدثة من برنامج Atomic Stealer (AMOS) الجديد والشهير لنظام التشغيل Mac.
تم الإعلان عن AMOS لأول مرة في أبريل 2023 باعتباره برنامج سرقة لنظام التشغيل Mac OS مع تركيز قوي على أصول العملات المشفرة، وقادر على جمع كلمات المرور من المتصفحات وسلسلة مفاتيح Apple، بالإضافة إلى احتوائه على أداة التقاط الملفات. عمل المطور بنشاط على المشروع، وأصدر نسخة جديدة في نهاية يونيو.
يقوم المجرمون الذين يشترون مجموعة الأدوات بتوزيعها في الغالب عبر تنزيلات البرامج المخترقة، لكنهم ينتحلون أيضًا مواقع ويب مشروعة ويستخدمون الإعلانات على محركات البحث مثل قوقل لجذب الضحايا. في منشور المدونة هذا، سنقدم تفاصيل حول حملة واحدة تستهدف TradingView، وهي شركة منصة وتطبيق مشهور لتتبع الأسواق المالية.
التوزيع
من الطبيعي أن يلجأ المستخدمون الذين يتطلعون إلى تنزيل برنامج جديد إلى قوقل وإجراء عملية بحث. يقوم ممثلو التهديد بشراء إعلانات تطابق علامات تجارية مشهورة ويخدعون الضحايا لزيارة موقعهم كما لو كانت الصفحة الرسمية.
عندما ينقر المستخدم على الإعلان، تتم إعادة توجيهه إلى صفحة التصيد الاحتيالي المستضافة على trabingviews[.]com:
يبدو الموقع المخادع (trabingviews[.]com) أصليًا تمامًا ويظهر ثلاثة أزرار للتنزيل: واحد لكل من Windows وMac وLinux. تتمثل إحدى طرق اكتشاف موقع التصيد الاحتيالي المحتمل في التحقق من تاريخ إنشائه، والذي كان في هذه الحالة قبل بضعة أيام فقط.
يشير كل من زري Windows وLinux إلى أداة تثبيت MSIX المستضافة على Discord والتي تقوم بإسقاط NetSupport RAT
هدف المهاجم هو ببساطة تشغيل برنامجه وسرقة البيانات من الضحايا ومن ثم إعادتها على الفور إلى الخادم الخاص بهم.
الحماية
لا تزال الإعلانات الضارة تمثل وسيلة فعالة لاستهداف ضحايا جدد من خلال إساءة استخدام الثقة التي يتمتعون بها في محركات البحث الخاصة بهم. تشكل الإعلانات الضارة المقترنة بصفحات التصيد الاحتيالي ذات المظهر الاحترافي مجموعة قوية يمكنها خداع أي شخص تقريبًا.
على الرغم من وجود برامج Mac الضارة بالفعل، إلا أنها تميل إلى أن تكون أقل اكتشافًا من نظيرتها في Windows. في الواقع، جعل المطور أو البائع لـ AMOS نقطة بيع أن مجموعة أدواتهم قادرة على تجنب الاكتشاف.
قبل تشغيل أي برنامج جديد، تأكد من التحقق من أصوله. إذا نقرت على إعلان لتنزيل تطبيق جديد، فقد ترغب في العودة لزيارة الموقع الرسمي مباشرة، أو على الأقل قضاء بعض الوقت في التحقق من أن موقع الويب الحالي هو الموقع الصحيح بالفعل، وليس مزيفًا.
مع أدوات السرقة مثل AMOS، من المهم أيضًا تشغيل برنامج مكافحة فيروسات يتمتع بحماية في الوقت الفعلي حتى يتمكن من حظر البرامج الضارة قبل سرقة البيانات القيمة.