Novi macOS malver vara korisnike: Dovoljna je jedna komanda da ugrozite računar
Dodajte Kurir u vaš Google izborStručnjaci kompanije Group-IB otkrili su novi malver za macOS pod nazivom ClickLock Stealer, koji koristi drugačiji pristup u odnosu na većinu poznatih napada. Umesto iskorišćavanja bezbednosnih propusta ili administratorskih privilegija, oslanja se na socijalni inženjering i navodi korisnike da sami pokrenu zlonamerni kod. Upravo zbog takvog načina rada stručnjaci upozoravaju da i iskusni korisnici mogu postati žrtve prevare.
Prema dosadašnjim analizama, kampanja je posebno usmerena na korisnike u Evropi, dok se malver najčešće širi preko kompromitovanih WordPress sajtova i takozvanih ClickFix stranica. Za komunikaciju sa napadačima i slanje ukradenih podataka koristi Telegram infrastrukturu. Ovakav način distribucije omogućava napadačima da relativno lako dopru do velikog broja potencijalnih žrtava.
Napad počinje lažnom Cloudflare proverom
Prevara počinje prikazivanjem lažne stranice koja imitira bezbednosnu proveru kompanije Cloudflare. Korisniku se prikazuje zahtev da kopira i pokrene određenu komandu u aplikaciji Terminal, uz objašnjenje da je to deo potvrde identiteta ili bezbednosne provere. Cilj je da korisnik poveruje kako obavlja uobičajenu bezbednosnu proceduru.
Nakon izvršavanja komande pojavljuje se animacija koja podseća na Cloudflare proces verifikacije. Dok korisnik veruje da je u toku provera, malver u pozadini počinje da prikuplja podatke sa računara. Zbog toga korisnik često ne primeti da je napad već u toku.
Meta su lozinke, pregledači i kripto novčanici
ClickLock je razvijen za prikupljanje podataka iz internet pregledača, menadžera lozinki i ekstenzija namenjenih kripto novčanicima. Pored toga, pokušava da pristupi desktop aplikacijama za upravljanje kriptovalutama, kao i informacijama koje se čuvaju u macOS Keychain sistemu. Na meti se tako nalaze podaci koji mogu imati veliku finansijsku vrednost.
Prema analizi Group-IB, malver trenutno cilja osam internet pregledača, 31 ekstenziju za kripto novčanike, sedam ekstenzija menadžera lozinki i osam desktop aplikacija za upravljanje kriptovalutama. To pokazuje da je ClickLock prilagođen krađi podataka iz velikog broja popularnih aplikacija i servisa.
Posebna funkcija otežava prekid napada
Istraživači su izdvojili mehanizam koji nazivaju „locker“ funkcijom. Ako korisnik pokuša da prekine proces ili odbije unos lozinke, malver zatvara sve aktivne aplikacije i otežava normalno korišćenje računara. Time pokušava da primora korisnika da nastavi sa lažnim procesom verifikacije.
Na taj način napadači pokušavaju da izvrše dodatni pritisak kako bi korisnik završio korake koje zahteva lažna verifikacija. Ovakav pristup razlikuje ClickLock od brojnih drugih malvera koji se oslanjaju isključivo na prikrivene aktivnosti. Upravo psihološki pritisak predstavlja jednu od njegovih najopasnijih karakteristika.
Stručnjaci upozoravaju na jednostavno pravilo
Nakon krađe podataka, ClickLock uklanja većinu tragova svog prisustva, ali na kompromitovanom uređaju ostavlja kanal koji napadačima može omogućiti dugoročan pristup. Do sada je identifikovano najmanje 100 žrtava u 33 zemlje, a istraživači smatraju da bi kampanja mogla da se proširi. Zbog toga stručnjaci očekuju da će broj pogođenih korisnika nastaviti da raste.
Stručnjaci naglašavaju da Cloudflare, Google i druge velike kompanije nikada ne traže od korisnika da otvaraju Terminal i izvršavaju komande radi potvrde identiteta. Zbog toga se preporučuje da se nikada ne pokreću komande preuzete sa veb stranica, iz elektronske pošte ili poruka, bez obzira na to koliko uverljivo izgledale. Upravo ovakva jednostavna mera može sprečiti većinu pokušaja ove prevare.
Kako se zaštititi od ClickLock malvera
Stručnjaci upozoravaju da legitimne kompanije poput Cloudflare, Google i drugih velikih tehnoloških servisa nikada neće tražiti od korisnika da otvaraju Terminal i izvršavaju komande kao deo provere identiteta ili bezbednosne verifikacije. Upravo zato svaki takav zahtev treba posmatrati sa velikom dozom opreza. Ako naiđete na ovakav scenario, najbezbednije je odmah zatvoriti stranicu i ne pratiti prikazana uputstva.
Najvažnija preporuka jeste da nikada ne kopirate niti pokrećete komande koje ste dobili putem veb stranica, elektronske pošte ili poruka, bez obzira na to koliko uverljivo izgledaju. Takav oprez može sprečiti krađu podataka i kompromitovanje macOS uređaja. Redovno ažuriranje sistema i korišćenje pouzdanog bezbednosnog softvera mogu dodatno smanjiti rizik od sličnih napada.
Zabranjeno preuzimanje dela ili čitavog teksta i/ili foto/videa, bez navođenja i linkovanja izvora i autora, a u skladu sa odredbama WMG uslova korišćenja i Zakonom o javnom informisanju i medijima.