พบ MacStealer มัลแวร์ตัวใหม่ใน macOS ที่สามารถขโมยรหัสผ่านจาก iCloud Keychain [EndUser]

นักวิจัยภัยคุกคามทางไซเบอร์ของ Uptycs พบ MacStealer มัลแวร์ตัวใหม่ที่กำหนดเป้าหมายการโจมตีไปยัง macOS เพื่อขโมยข้อมูลส่วนบุคคล ที่จัดเก็บไว้ใน iCloud KeyChain และเว็บเบราว์เซอร์ cryptocurrency wallet และไฟล์ข้อมูลที่มีความสำคัญ

MacStealer มุ่งเป้าหมายการโจมตีไปยัง macOS

นักวิจัยพบ MacStealer ในเว็บไซต์ hacking forum แห่งหนึ่งในเดือนมีนาคม 2023 โดยมีผู้นำมาโปรโมต และวางแผนที่จะนำมาขายในราคา $100 พร้อมทั้งโฆษณาว่า MacStealer เป็น Malware-as-a-Srvice (MaaS) ที่สามารถนำไปใช้ร่วมกับแคมเปญการโจมตีของกลุ่ม Hacker ต่าง ๆ ได้อย่างสะดวก โดยมัลแวร์ดังกล่าวรองรับการโจมตีบน macOS ตั้งแต่ macOS Catalina (10.15) จนถึงเวอร์ชันล่าสุด Ventura (13.2) ซึ่งขณะนี้ MacStealer ยังอยู่ในขั้นตอนการพัฒนา และปรับปรุง แต่จะนำเพย์โหลด DMG ที่สร้างไว้แล้วมาขายก่อนล่วงหน้า

โดย MacStealer จะมาพร้อมกับความสามารถในการขโมยข้อมูลต่างๆ ดังนี้

  • ข้อมูลรหัสผ่านบัญชี คุกกี้ และรายละเอียดบัตรเครดิตจาก Firefox, Chrome และ Brave
  • ข้อมูลไฟล์ TXT, DOC, DOCX, PDF, XLS, XLSX, PPT, PPTX, JPG, PNG, CSV, BMP, MP3, ZIP, RAR, PY และ DB
  • ข้อมูล Keychain database (login.keychain-db) ในรูปแบบเข้ารหัส base64
  • การรวบรวมข้อมูลระบบ
  • การรวบรวมข้อมูลรหัส Keychain
  • ข้อมูล Coinomi, Exodus, MetaMask, Phantom, Tron, Martian Wallet, Trust wallet, Keplr Wallet และ Binance cryptocurrency wallet

Keychain database เป็นระบบจัดเก็บข้อมูลที่ปลอดภัยใน macOS ซึ่งเก็บรหัสผ่าน คีย์ส่วนตัว และใบรับรองของผู้ใช้งาน โดยเข้ารหัสด้วยรหัสผ่านของผู้ใช้ ทำให้สามารถป้อนข้อมูลใบรับรองการเข้าสู่ระบบบนหน้าเว็บ และแอปได้โดยอัตโนมัติ

ขั้นตอนการโจมตีของ MacStealer

โดย Hacker จะทำการหลอกล่อให้เป้าหมายทำการติดตั้ง MacStealer ที่เป็นไฟล์ DMG ไปยังเครื่อง macOS หลังจากนั้นระบบจะแสดงรหัสผ่านปลอมให้เป้าหมายทำการเรียกใช้คำสั่งอันตรายที่จะอนุญาตให้มัลแวร์ทำการรวบรวมข้อมูลรหัสผ่านจากเครื่องเป้าหมายเก็บไว้ในไฟล์ ZIP และส่งข้อมูลที่ขโมยมาไปยัง Command and Control (C2) Server ของ Hacker ในภายหลัง

นอกจากนี้ MacStealer จะส่งข้อมูลพื้นฐานบางอย่างไปยัง Telegram ที่มีการตั้งค่าไว้ล่วงหน้า ทำให้ Hacker ได้รับการแจ้งทันที เมื่อมีข้อมูลใหม่ที่ถูกขโมย และดาวน์โหลดไฟล์ ZIP

แม้ว่าการโจมตีส่วนใหญ่ของบริการ MaaS จะมุ่งเป้าการโจมตีไปยัง Windows แต่ก็เริ่มมีการตั้งเป้าหมายไปที่ macOS ด้วยเช่นกัน ดังนั้นผู้ใช้งานควรระมัดระวัง และหลีกเลี่ยงการดาวน์โหลดไฟล์จากเว็บไซต์ที่ไม่น่าเชื่อถือ

 

ที่มา : bleepingcomputer