Uptycs已经确定了今年使用Telegram的三个基于Windows的恶意软件家族，包括Titan Stealer, Parallax RAT,和HookSpoofer。攻击者越来越多地转向它，特别是对于窃取者的命令和控制。

现在，Uptycs威胁研究团队发现了一个macOS窃取程序，该窃取程序还通过Telegram控制其操作。我们称之为MacStealer。

分发MacStealer的威胁行为者是Uptycs威胁情报团队在我们的暗网狩猎中发现的。窃取者可以从受害者的浏览器中提取文档、cookie 和登录信息。它会影响搭载英特尔 M1 和 M2 CPU 的 Catalina 和后续 macOS 版本。

图 1：暗网上的威胁参与者广告

麦克偷窃者特点

窃取程序具有以下功能：

• 从 Firefox、Google Chrome 和 Brave 浏览器中收集密码、Cookie 和信用卡数据
• 提取文件（“.txt”、“.doc”、“.docx”、“.pdf”、“.xls”、“.xlsx”、“.ppt”、“.pptx”、“.jpg”、“.png”、“.csv”、“.bmp”、“.mp3”、“.zip”、“.rar”、“.py”、“.db”）
• 提取钥匙串数据库（base64 编码）

图 2：威胁行为者以 100 美元/构建的价格出售 MacStealer

恶意软件操作

图 3 显示了 MacStealer 的操作行为。

图3：MacStealer恶意软件操作[点击放大]

技术分析

如图 4 所示，Mach-O 文件未进行数字签名。

图 4：未签名的 Mach-O 文件

Mach-O文件是从Python代码编译的（图5和图6）。

图 5：Python 库依赖项

Figure 6: Python API imports

The bad actor uses a .DMG file to spread the malware. After a user executes the file, it opens a fake password prompt to gather passwords using the following command line.

osascript -e 显示对话框“MacOS 想要访问系统偏好设置”，标题为“系统偏好设置”，图标警告默认答案“”，带有隐藏答案

图 7：假密码提示

用户输入其登录凭据后，窃取程序将按照MacStealer的功能部分中的说明收集数据。它将其存储在以下系统目录中。

“/var/folder/{name}/{randomname}/T/{randomname}/files/{different folder}”

然后，窃取者对数据进行压缩，并使用 Python 用户代理请求通过 POST 请求将其发送到 C2（图 8 和图 9）。它会在随后的清理操作期间从受害者的系统中删除数据和 ZIP 文件。

图 8：窃取者收集数据 [单击放大]

图 9：发送 POST 请求

图 10：发送存档文件

同时，MacStealer将选定的信息传输到列出的电报频道。

• 电报频道：

图 11：将基本信息发送到电报公共频道

一旦将编译的 ZIP 文件发送到 C2，后者就会与威胁参与者的个人 Telegram 机器人共享该文件（图 12）。

• 电报机器人：

图 12：将 ZIP 文件发送到私有电报机器人

图 13 显示了泄露的文件。

图 13：泄露的 ZIP 文件内容

结论 – UPTYCS EDR 检测

Uptycs EDR - 配备YARA进程扫描，高级检测以及关联进程文件，进程和套接字事件的能力 - 成功检测MacStealer执行的许多策略，技术和程序（TTP）。

此外，Uptycs EDR上下文检测提供有关检测到的恶意软件的其他详细信息。您可以导航到检测警报的工具包数据部分，然后单击名称以了解其行为（图 14）。

图 14：MacStealer 的 Uptycs 事件检测

国际奥委会

域/网址

通过查看VirusTotal图表，Uptycs研究小组得出结论，最近有更多的MacStealer样本正在传播。每个文件使用相同的域（mac[.]破解23[.]网站）。

图 15：macOS 窃取程序的病毒总数图

相关哈希

观察

根据恶意软件分销商的暗网论坛帖子，他们将向MacStealer添加这些功能更新（图16）。

图 16：MacStealer 的计划功能更新

Uptycs威胁研究团队进行了详细的调查，以更好地了解参与者模块的功能和目标。我们发现分销商拥有来自其他威胁行为者的MacStealer批量生产订单，因此恶意软件可能会更广泛地传播。

结论

本文的摘要涵盖了这个新窃取者的操作，包括其攻击杀伤链中使用的实用程序。值得注意的是，这些恶意软件程序会影响运行最新版本 macOS 的受害者计算机。一个歹徒使用Telegram作为命令和控制平台来泄露受害者的敏感数据。

Uptycs建议采取以下措施和行动：

• 使用最新的更新和补丁让您的 Mac 系统保持最新状态
• 仅允许安装来自允许“App Store”或“App Store 和已识别的开发人员”的受信任来源的文件。

翻译自 https://www.uptycs.com/blog/macstealer-command-and-control-c2-malware