Дослідники з Malwarebytes виявили нову кампанію з поширення шкідливого ПЗ, що атакує користувачів macOS. Зловмисники використовують техніку ClickFix — фальшиву сторінку перевірки від Cloudflare — щоб змусити жертву самостійно запустити шкідливий код у терміналі. Інструмент отримав назву Infinity Stealer і здатний викрадати паролі, дані гаманців криптовалют і файли розробників.

Що таке ClickFix і чому це небезпечно

Техніка ClickFix полягає в тому, що шкідливий сайт імітує стандартну форму перевірки людини — зокрема відому перевірку Cloudflare «I’m not a robot». Замість натискання на галочку жертву просять вставити у термінал macOS певну команду, начебто для завершення «верифікації».

Саме так починається атака Infinity Stealer: через домен update-check[.]com користувач отримує команду у закодованому вигляді (base64), яку йому пропонують скопіювати й виконати в терміналі macOS. Виконання цієї команди обходить захисні механізми операційної системи.

Як працює ланцюг зараження

Після запуску команди в терміналі розгортається кількаетапний процес зараження:

• Команда розшифровує Bash-скрипт, який завантажує так званий Nuitka loader — файл розміром 8,6 МБ — у тимчасову папку /tmp.
• Скрипт знімає з файлу карантинний прапорець macOS (який зазвичай блокує запуск завантажених з інтернету програм) і запускає завантажувач у фоновому режимі через команду nohup.
• Після цього скрипт видаляє сам себе і закриває вікно термінала, щоб не викликати підозр.
• Завантажувач розпаковує вбудований архів розміром 35 МБ і запускає фінальний payload — власне Infinity Stealer (файл UpdateHelper.bin).

Перед початком збору даних шкідливе ПЗ перевіряє, чи не запущено його у віртуальному середовищі або пісочниці — це стандартна техніка уникнення аналізу.

Чому Infinity Stealer складно виявити

Особливість цієї кампанії — використання компілятора Nuitka з відкритим вихідним кодом. Він перетворює Python-скрипт спочатку на код мовою C, а потім компілює його у нативний бінарний файл для macOS. Результат — справжній виконуваний файл без жодних слідів Python-байткоду.

Це принципово відрізняє Infinity Stealer від більшості шкідливого ПЗ, написаного на Python: зазвичай такі програми упаковуються інструментом PyInstaller, де байткод залишається у файлі і його відносно легко витягти та проаналізувати. Нативний бінарний файл, отриманий через Nuitka, значно складніше декомпілювати й дослідити.

За словами дослідників Malwarebytes, це перша задокументована кампанія для macOS, у якій техніка ClickFix поєднана з Python-стілером, скомпільованим через Nuitka.

Які дані викрадає шкідливе ПЗ

Після запуску Infinity Stealer збирає широкий спектр чутливих даних:

• збережені паролі та облікові дані з браузерів на основі Chromium і Firefox;
• записи з macOS Keychain (системного сховища паролів);
• дані криптовалютних гаманців;
• секретні дані у відкритому вигляді з файлів розробників, зокрема файлів типу .env.

Усі зібрані дані відправляються на сервер зловмисників через HTTP POST-запити. Після завершення операції зловмисники отримують сповіщення у Telegram.

Загроза для macOS зростає

Malwarebytes підкреслює, що поява таких інструментів, як Infinity Stealer, підтверджує: загрози для користувачів macOS стають дедалі складнішими і цілеспрямованими. Хибне уявлення про те, що Mac-комп’ютери захищені від шкідливого ПЗ, продовжує робити їхніх власників вразливими до атак.

Як захиститися

• Не варто вставляти в термінал macOS будь-які команди, знайдені в інтернеті, якщо їхнє призначення не зрозуміле повністю.
• Жодна легітимна CAPTCHA або перевірка від Cloudflare не вимагає виконання команд у терміналі — такі прохання є ознакою атаки.
• Рекомендується використовувати актуальне антивірусне програмне забезпечення, зокрема таке, що здатне виявляти поведінкові ознаки шкідливого ПЗ, а не лише його сигнатури.
• Варто уважно перевіряти адресу сайту перед виконанням будь-яких інструкцій — особливо якщо сторінка просить «підтвердити, що ви людина».

Ця стаття Infinity Stealer: нове шкідливе ПЗ для macOS ховається за фальшивою CAPTCHA від Cloudflare раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Інтернет має проблему з ботами, і це триває вже довго. Одним із рішень є Completely Automated Public Turing test to tell Computers and Humans Apart (Повністю автоматизований публічний тест Тюрінга для розрізнення комп’ютерів та людей) або CAPTCHA. Ну ви знаєте, ці маленькі тести, які іноді доводиться проходити, щоб відкрити сайт або завершити транзакцію.

Коротка історія CAPTCHA

Завжди існувала потреба приховати звичайну мову від сторонніх очей. Згадайте злодійський жаргон, як-от римований сленг кокні, або пізніший так званий «leetspeak», коли хакери, а згодом інші технічно обізнані користувачі інтернету приховували слова, замінюючи деякі літери цифрами. Навіть сьогодні користувачі TikTok та подібних платформ використовують терміни на кшталт «unalived» у (помилковому) переконанні, що це допоможе їм уникнути тіньового бану.

З появою автоматизованих веб-сканерів та інших «ботів», що займаються своїми справами в мережі, сайтам потрібен був спосіб зупиняти ці програмні агенти на певних етапах. Можливо, це було для того, щоб зупинити ботів від скуповування товарів для перепродажу, або веб-майстер не хотів, щоб Google сканував та індексував певні сторінки.

Незалежно від причини, перші CAPTCHA були простими спотвореннями текстового коду або пароля. Людина може легко це прочитати, але рання система розпізнавання тексту (OCR) — ні. Просте рішення проблеми, і вона була вирішена назавжди і більше ніколи не була проблемою — ага, звичайно.

Пекло CAPTCHA: чому вони тепер такі складні

Справа в тому, що кляті боти продовжують розвиватися. За останні кілька років системи комп’ютерного зору на основі ШІ та інші рішення ШІ, що поєднуються з комп’ютерним зором, зробили величезний стрибок вперед. Якщо я подам стару CAPTCHA до ChatGPT, він не лише миттєво її розв’язує, але й досить нахабно питає, чи хочу я дізнатися про ці «старі» методи блокування ботів.

Те саме відбувається, коли я подаю один із тих тестів на основі сітки або будь-який візуальний тест. Ось чому ці CAPTCHA тепер включають логічні головоломки та тести на ментальне обертання, які зазвичай можна знайти лише в тестах на IQ.

Хоча творці ботів, ймовірно, не можуть дозволити собі надсилати тисячі викликів API до просунутих моделей, як-от ChatGPT, лише для того, щоб прорватися через виклики CAPTCHA, вартість цього знижується, і ви, звичайно, можете зробити це для високоцінних даних, які хочете зібрати. Крім того, набагато менш досконалі моделі ШІ вже долають ці CAPTCHA, оскільки їм потрібно навчитися виконувати лише вузький набір завдань, щоб бути успішними.

Ви — продукт, а не клієнт

Справжня іронія полягає в тому, що саме CAPTCHA та дані, які ми надавали, розв’язуючи їх, частково зробили такі боти можливими. Довгий час кожного разу, коли ви розв’язували CAPTCHA, ви тренували модель комп’ютерного зору ШІ.

Це одна з причин, чому старі CAPTCHA досі існують — дані, які вони генерують, коштують грошей, тому навіть якщо вас насправді не хвилюють боти, що читають ваш сайт, ви все одно можете трохи заробити на CAPTCHA, одночасно утримуючи найдурніших ШІ-спамерів.

Альтернативи, які справді мають сенс

Можливо, ви помітили, що в наші дні, коли ви натискаєте на поле «Я не робот», воно просто пропускає вас. Це здається нелогічним, адже хіба не може бот просто натиснути на поле і пройти?

Ну, це і є розумна частина — це насправді працює для блокування ботів. Ці нові CAPTCHA, у відповідь на те, що тести стають занадто абсурдними та складними, дивляться на інші ознаки того, що ви людина. Насправді те, що відбувається до того, як ви натискаєте це поле, визначає, чи ви бот. Як ви рухаєте мишею, як прокручуєте сторінку, ритм вашого друку та унікальна комбінація всього цього — це те, що боту було б важко імітувати, хоча, гадаю, це лише питання часу.

Існує також практика створення «відбитків» пристроїв, де унікальні атрибути вашого комп’ютера (або їх комбінація) допомагають виявляти підозрілу поведінку. Насправді, ви, ймовірно, бачите менше CAPTCHA саме через це. Це також пояснює, чому ви частіше бачите виклики CAPTCHA, коли використовуєте VPN. Багато ботів використовують ті ж IP-адреси, тому ви викликаєте сигналізацію, що запускає додаткову перевірку.

Можливо, боти заслуговують на перемогу

Оскільки CAPTCHA стали складнішими для людей і легшими для ботів, первісна обіцянка цієї технології виглядає все більш хиткою. Якщо ціна утримання ботів полягає в тому, щоб зробити справжніх користувачів нещасними, варто запитати, чи CAPTCHA взагалі мають право на існування.

Сьогодні доступні кращі інструменти, і в багатьох випадках сайти, які сильно покладаються на CAPTCHA, роблять це за звичкою, а не з необхідності. Поки веб повністю не прийме ці альтернативи, нам усім доведеться доводити, що ми знаємо, як виглядає велосипед — знову і знову.

Ця стаття Прощавай, CAPTCHA? Як прості перевірки перетворилися на пекло для людей, але не для ботів раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Зловмисники використовують всюдисущий процес введення CAPTCHA, щоб спробувати викрасти дані у жертв, які нічого не підозрюють.

Як описано в новому звіті компанії Malwarebytes, ця схема заснована на легкості, з якою люди часто виконують кроки у запиті CAPTCHA, не замислюючись.

Як працює атака

Ви потрапляєте на веб-сайт, який обіцяє фільми, музику, картинки, новини або інший цікавий контент. З’являється запит CAPTCHA, який просить вас довести, що ви не робот. Оскільки ми всі так звикли до таких запитів, багато хто з нас не замислюючись прийме його.

Але замість звичайного CAPTCHA-запиту, який просить вас вибрати певні зображення на картинці або ідентифікувати спотворені символи, цей запит містить інструкцію, яку ви бачите на зображенні нижче:

На цьому етапі більшість досвідчених користувачів зрозуміють, що тут щось не так, і покинуть сайт. Але пам’ятайте, що кіберзлочинці не націлені на підкованих користувачів; вони намагаються вразити людей, які менш обізнані і яких легше обдурити. Навіть досвідчені користувачі, які поспішають або діють на автопілоті, можуть потрапити в пастку.

Якщо ви виконаєте наступні дії, веб-сайт скопіює текстовий рядок у буфер обміну Windows. Зазвичай ви повинні надати дозвіл на таку дію, але ви вже зробили це, встановивши прапорець на першому екрані запиту CAPTCHA.

Як видно в текстовому полі Windows Run, рядок говорить просто: «Я не робот – reCAPTCHA Verification ID: 8253». Але за лаштунками знаходиться інший рядок, який запускає команду Windows під назвою Mshta.exe. Зазвичай цей файл є законною і безпечною командою, що використовується для виконання коду, але хакери і шахраї можуть легко використовувати його для завантаження і встановлення шкідливого програмного забезпечення. І це саме те, що відбувається тут.

У цьому випадку Mshta перехоплює шкідливий медіафайл з веб-сайту. Назва файлу може виглядати досить невинно. Malwarebytes стверджує, що бачила файли з такими розширеннями, як mp3, mp4, jpg, jpeg, swf і html. Але сам файл містить зашифровану команду PowerShell, яка непомітно завантажує і запускає справжнє руйнівне корисне навантаження.

У минулому завантажене шкідливе програмне забезпечення майже завжди було інфокрадієм Lumma Stealer. Але в останніх кампаніях зловмисники використовують SecTopRAT. У будь-якому випадку, шкідливе програмне забезпечення призначене для зараження вашого комп’ютера з метою викрадення конфіденційних даних.

Як захистити себе

Окрім знання тактики, як ви можете захистити себе від цієї та подібних кампаній? Malwarebytes пропонує кілька порад:

• Ніколи не виконуйте інструкції, надані на веб-сайті, не обдумавши їх.
• Використовуйте програми безпеки та розширення для браузера, які блокують шкідливі веб-сайти та скрипти.
• Вимкніть JavaScript у своєму браузері, якщо ви відвідуєте випадкові або невідомі веб-сайти. У кампанії, описаній Malwarebytes, доступ до буфера обміну надається через функцію JavaScript. Вимкнення JavaScript запобіжить атаці, але може завадити вам користуватися багатьма сайтами, які ви зазвичай відвідуєте. Можливо, ви захочете заблокувати його загалом, але дозволити для певних сайтів.

Вимкнення JavaScript

Щоб вимкнути JavaScript у Google Chrome, перейдіть до Налаштувань, виберіть Конфіденційність і безпека, а потім натисніть Налаштування сайту. Клацніть налаштування для JavaScript і змініть параметр на «Вимкнути JavaScript для всіх сайтів». Після цього ви можете додати конкретні сайти, яким дозволено використовувати JavaScript.

Щоб вимкнути JavaScript в Edge, перейдіть до «Налаштувань», виберіть «Файли cookie» і «Дозволи сайтів», а потім натисніть «JavaScript». Вимкніть перемикач «Дозволено», а потім додайте окремі сайти, для яких ви хочете, щоб JavaScript працював.

Щоб вимкнути JavaScript у Firefox, вам доведеться встановити сторонній додаток або скористатися редактором конфігурації. Для цього введіть about:config в поле адреси і прийміть ризик, щоб продовжити. Введіть javascript.enabled в поле пошуку і виберіть результат. Двічі клацніть його, щоб змінити значення з true на false.

Ця стаття Підроблені CAPTCHA: як кіберзлочинці викрадають дані та як захиститися раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар