Jamf

Jamf Threat Labs เผย PamStealer มัลแวร์ขโมยข้อมูลบน macOS เวอร์ชันใหม่ที่ทำให้ payload หลักถอดรหัสได้เฉพาะผ่านการแลกกุญแจกับเซิร์ฟเวอร์เท่านั้น ทำให้วิเคราะห์แบบ static แทบไม่ได้ เวอร์ชันนี้ใช้เว็บปลอมชื่อ Wavel อ้างเป็นบริการกระเป๋าคริปโท ล่อเหยื่อดาวน์โหลดไฟล์ DMG ที่มี AppleScript ฝัง JXA dropper ติดตั้ง persistence สี่ชั้นและ git hook ตัวขโมยเขียนด้วย Swift ดักรหัสผ่านผ่านหน้าต่างแครชปลอม ดูด keychain และข้อมูลจากเบราว์เซอร์กว่าสิบตัว

บริษัท Jamf พบมัลแวร์ขโมยข้อมูลบน macOS ตัวใหม่ชื่อ AmnesiaStealer เขียนด้วยภาษา Rust แพร่ผ่านหน้าดาวน์โหลด GitHub ปลอมด้วยเทคนิค ClickFix ติดเชื้อ 3 ขั้นตั้งแต่สคริปต์เชลล์จนถึงโมดูลควบคุมเบราว์เซอร์จากระยะไกล มัลแวร์หลอกขอรหัสผ่านเครื่อง คัดลอก keychain และดูดข้อมูลจากเบราว์เซอร์ตระกูล Chromium 6 ตัว จุดเด่นคือเขียนทับคีย์ Safe Storage ด้วยค่าของผู้โจมตีจนรหัสผ่านเดิมกู้ไม่ได้ และโมดูล stream ที่ใช้ Chrome DevTools Protocol เปิดเบราว์เซอร์ headless ให้ผู้โจมตีคุมเซสชันสด

นักวิจัยจาก Jamf Threat Labs พบมัลแวร์ขโมยข้อมูล macOS ตัวใหม่ชื่อ CrashStealer ที่เขียนด้วยภาษา C++ ต่างจาก stealer ทั่วไปที่ใช้ AppleScript หรือ Objective-C มันตรวจสอบรหัสผ่านล็อกอินของเหยื่อในเครื่องก่อนขโมยข้อมูล เก็บกวาดทั้งเบราว์เซอร์ กระเป๋าคริปโต ตัวจัดการรหัสผ่าน และ Keychain เข้ารหัสด้วย AES-GCM ก่อนส่งออกผ่าน libcurl จุดเด่นคือแพร่ผ่าน Dropper ที่เซ็นและผ่าน Apple Notarize ในชื่อ Werkbit.app ทำให้ผ่านการตรวจของ Gatekeeper ได้ และการดาวน์โหลดต้องมี PIN ประชุมจึงจะเข้าถึง