Microsoft hat eine auf macOS ausgerichtete ClickFix-Kampagne identifiziert, die mehr als 250 Frontend-Domains verwendet, um Besucher zu prüfen, bevor ein bösartiger Köder angezeigt wird. Die Infrastruktur der Kampagne erstellt serverseitig Fingerabdrücke von Browsern und Geräten, um Crawler, automatisierte Sandboxes und Sicherheitsforscher zu umgehen, während gezielt Personen angesprochen werden, die offenbar echte Mac-Hardware verwenden.
In der von Microsoft analysierten Aktivität wurde qualifizierten Besuchern eine Seite im GitHub-Stil angezeigt, die für einen macOS-Download warb und ein gefälschtes „Verified Publisher“-Siegel zeigte. Der größere Domain-Cluster wird mit MacSync und Atomic Stealer (AMOS) in Verbindung gebracht, Microsoft erklärte jedoch, dass nicht jede Domain einer bestimmten Payload zugeordnet werden konnte. Das Unternehmen machte außerdem keine Angaben zu den Opferzahlen, den anvisierten Organisationen oder der Identität der Betreiber.
Fingerprinting bestimmt die Antwort
Das etwa 2,5 Kilobyte große JavaScript-Gate untersucht Browser- und Systemeigenschaften, darunter die gemeldete Plattform, die Abmessungen von Bildschirm und Fenster, WebGL-Informationen, die Zeitzone, den Iframe-Status und die Touch-Unterstützung. Weitere Prüfungen suchen nach Anzeichen einer Analyse, etwa einer geöffneten Entwicklerkonsole oder ungewöhnlichen Antworten von Browsertests zur Medienkompatibilität.
Die gesammelten Informationen werden automatisch übermittelt, woraufhin der Server bestimmt, welche Inhalte zurückgegeben werden. Unerwünschte Besucher erhalten möglicherweise eine leere Seite, eine gefälschte Erweiterung oder eine andere, seriös wirkende Website. Dadurch kann dieselbe Domain bei einem Besuch harmlos erscheinen und bei einem anderen einen Malware-Köder ausliefern. Microsoft wies darauf hin, dass Domainnamen, die „file“ und gewöhnliche Wörter aus dem Wörterbuch enthalten, einen möglichen Hinweis für die Suche darstellen, jedoch allein nicht als Beleg für eine Kompromittierung gelten sollten.
Die Ausführung im Terminal bleibt entscheidend
Der Angriff beruht weiterhin auf Social Engineering. Das Opfer wird angewiesen, einen verschleierten Befehl in das macOS-Terminal zu kopieren und auszuführen. In der analysierten Angriffskette kontaktierte der Befehl einen /curl/<id>-Endpunkt, lud zusätzliche Skripte herunter und startete letztlich AMOS. Der Stealer kann nach Browser-Zugangsdaten, Authentifizierungsdaten, Kryptowährungs-Wallets, sensiblen Dateien und anderen gespeicherten Informationen suchen.
Verteidiger sollten ungewöhnliche Terminal-Aktivitäten nach verdächtigen Browsing-Vorgängen untersuchen, darunter an zsh weitergeleitete curl-Befehle, Base64-Dekodierung, osascript, das Erstellen von Archiven und ausgehende POST-Anfragen. Die Suche nach Fingerprinting-Formularen, versteckten Feldern, dem Marker mode:"php" und gemeinsam genutzten Staging-Pfaden kann effektiver sein, als einzelne Wegwerf-Domains zu blockieren.
Benutzer sollten jede Website, jedes CAPTCHA, jede Chatnachricht und jede Download-Aufforderung ablehnen, die sie dazu auffordert, Befehle in das Terminal einzufügen. Microsoft erklärte, dass aktuelle macOS-Schutzmechanismen vor verdächtigen, aus dem Browser stammenden Einfügevorgängen warnen können, während XProtect zugehörige Prozesse und Netzwerkaktivitäten prüfen kann. Die Fingerprinting-Schicht verändert, wie der Köder angezeigt wird, nicht jedoch die zentrale Voraussetzung, dass der Benutzer den Befehl ausführt.