money Con el lanzamiento de la función que alerta a los usuarios sobre comandos copiados de la web en Terminal de macoslanzado por Apple con la versión 26.4 del sistema, los atacantes están encontrando nuevas formas de eludir esta medida de seguridad.
Un nuevo método tipo ClickFix, destacado por la empresa de seguridad Jamf, utiliza ingeniería social para instalar otra variante del malware Atomic Stealer, conocido por robar grandes cantidades de datos de usuarios de macOS.
El principio del esquema es el mismo que ya hemos informado varias veces: los usuarios son atraídos por una página web falsa (ésta diseñada con la identidad visual de Apple), que teóricamente ofrece soluciones para recuperar espacio en el disco del Mac.
En lugar de hacer que un comando esté disponible para que el usuario lo agregue a la Terminal, la página tiene un botón «Ejecutar» que, cuando se hace clic, inicia directamente la aplicación macOS Script Editor con un guion malicioso ya lleno.
Uno inmediato Aparece solicitando autorización del usuario para ejecutarlo (puede ir acompañado de una advertencia adicional para guardar el archivo). guiondependiendo de la versión de macOS) y, cuando se ejecuta, entra en juego un comando ofuscado.
Este comando malicioso utiliza la herramienta tr para revelar una URL oculta y luego activar el comando curl para descargar el carga útil desde Internet, deshabilitando la validación de seguridad y ejecutando el contenido descargado directamente en la memoria.
Sin escribir archivos en el disco (lo que dificulta la detección), un carga útil La segunda etapa (anteriormente oculta) descarga una variante de Atomic Stealer, elude ciertas restricciones de seguridad, establece permisos y ejecuta el malware.
Para evitar que su sistema se vea comprometido y que le roben sus datos, se recomienda prestar siempre mucha atención a las páginas web sospechosas, a las alertas activadas por el navegador y el sistema y, tal vez, descargar algún software de protección.
vía AppleInsider
