Reaper atakuje komputery Mac

Eksperci ostrzegają przed nowym złośliwym oprogramowaniem dla komputerów Mac. Malware o nazwie Reaper rozprzestrzenia się za pośrednictwem fałszywych stron udających serwisy pobierania popularnych aplikacji, takich jak WeChat czy Miro. Po infekcji przechwytuje dane portfeli kryptowalutowych oraz zapisane hasła z przeglądarek.

Reaper jest rozwinięciem starszej metody ataku, która nakłaniała użytkowników do wklejania szkodliwych komend do Terminala. Apple usunęło tę lukę w jednej z ostatnich aktualizacji macOS, jednak twórcy malware znaleźli nowy sposób obejścia zabezpieczeń.

Zamiast Terminala atak wykorzystuje wbudowany w system Edytor skryptów. Fałszywe strony uruchamiają go za pomocą specjalnego adresu AppleScript. Sam kod pozostaje niewidoczny, ponieważ został ukryty przy użyciu znaków ASCII i pustych spacji. Wystarczy kliknięcie przycisku uruchamiania, aby nieświadomie wykonać szkodliwe polecenia.

Atak rozpoczyna się od fałszywych domen przypominających legalne strony. Badacze znaleźli m.in. adres mlcrosoft[.]co[.]com, który podszywa się pod Microsoft. Po uruchomieniu skryptu użytkownik widzi fałszywe okno aktualizacji zabezpieczeń Apple z prośbą o podanie hasła do komputera.

Następnie Reaper sprawdza ustawienia klawiatury. Jeśli wykryje język rosyjski, kończy działanie. W pozostałych przypadkach rozpoczyna infekcję.

Malware atakuje aplikacje kryptowalutowe, takie jak Ledger Live, Trezor Suite i Exodus. Modyfikuje ich kod, aby przechwytywać przyszłe transakcje i przekierowywać środki do cyberprzestępców.

Program wykrada również zapisane dane logowania z przeglądarek Chrome, Firefox i Edge. Zbiera też informacje z rozszerzeń, m.in. 1Password i MetaMask.

Dodatkowo wyszukuje pliki z rozszerzeniami .docx, .pdf, .xlsx, .wallet oraz .keys w folderach Dokumenty i Biurko. Dane są pakowane do archiwów ZIP o wielkości do 70 MB i przesyłane na zewnętrzny serwer kontrolowany przez atakujących.

Aby utrzymać dostęp do systemu, Reaper instaluje tylne wejście ukryte pod nazwą przypominającą katalog Google Software Update.

Według analizy firmy Moonlock jest to już trzecia kampania wykorzystująca zautomatyzowane skrypty AppleScript w ciągu około dwóch miesięcy. Wcześniej badacze z Microsoft Defender Security Research Team opisywali podobne ataki wykorzystujące fałszywe poradniki dla użytkowników macOS publikowane w serwisach Medium, Craft i Squarespace. W tamtych kampaniach rozprzestrzeniano malware AMOS, Macsync i SHub Stealer, a prawdziwe aplikacje portfeli kryptowalutowych były po cichu zastępowane zainfekowanymi wersjami.

Specjaliści zalecają ostrożność podczas pobierania nowych programów. Jeśli strona internetowa prosi o uruchomienie Edytora skryptów lub niespodziewanie żąda hasła do komputera Mac, najlepiej natychmiast ją zamknąć.

Obserwuj nas na: