Вредоносное ПО для Mac распространяется через, казалось бы, безобидные проекты

Исследователи безопасности наблюдают за новыми методами распространения вредоносного ПО для macOS. По данным охранной компании Лаборатории угроз Jamf Злоумышленники все чаще используют общедоступные программные проекты, такие как репозитории GitHub и рабочие процессы искусственного интеллекта, а также автоматизированные рабочие процессы разработки для распространения вредоносного ПО.

Кампания основана на популярной платформе OpenClaw под названием «GhostClaw» и направлена на слежку за данными о доступе пользователей.

Образцы вредоносного ПО от Jamf

Первоначально вредоносное ПО распространялось через модифицированные пакеты программного обеспечения. Однако теперь злоумышленники все чаще полагаются на платформы разработки программного обеспечения, особенно на свободно доступные каталоги проектов. Проекты будут представлять собой полезные программы, такие как инструменты разработчика или программы автоматической торговли. Такие действия, как частые обновления или интеграция в существующие проекты, могут создать впечатление серьезного программного обеспечения.

По мнению исследователей, угроза больше не нацелена исключительно на профессиональных разработчиков. Пострадать могут даже пользователи без глубоких знаний программирования, если они примут команды установки из онлайн-инструкций или используют автоматизированные инструменты, выполняющие сторонний код. В таких случаях существует риск того, что вредоносное ПО останется незамеченным. Пока отображаются индикаторы выполнения или сообщения об успехе, вредоносная программа пытается собрать конфиденциальные данные в фоновом режиме.

Многоэтапные цепочки атак затрудняют обнаружение

Исследователи безопасности сообщают о нескольких проектах, которые можно отнести к общей технической инфраструктуре. В многоэтапном процессе сначала выполняется сценарий установки. Затем можно перезагрузить дополнительные вредоносные программы или настроить постоянный доступ к системе.

Поэтому исследователи безопасности советуют тщательно проверять команды установки из интернет-источников перед их выполнением. В частности, это относится к программам из свободно доступных каталогов проектов или автоматизированных сред разработки. Исследователи безопасности провели подробный анализ опубликовано здесь.