Eater
Nieuwe krachtige Redux van Infinity Stealer malware bedreigt macOS via ClickFix-truc
Een nieuwe, geavanceerde informatie-stealende malware genaamd Infinity Stealer is momenteel actief en richt zich specifiek op macOS-systemen. Deze malware gebruikt een Python-programma dat is omgezet in een uitvoerbaar bestand met de open-source Nuitka-compiler, waardoor het moeilijk is te detecteren en analyseren.
De aanval maakt gebruik van de zogenaamde ClickFix-techniek. Hierbij wordt een nep-CAPTCHA getoond die precies lijkt op de menselijke verificatiecontrole van Cloudflare. Deze misleiding brengt gebruikers ertoe een kwaadaardige opdracht uit te voeren, waarmee de malware op hun systeem wordt geïnstalleerd.
Onderzoekers van Malwarebytes wijzen erop dat dit de eerste bekende macOS-aanval is waarin ClickFix wordt gecombineerd met een Python-gebaseerde infostealer, gecompileerd met behulp van Nuitka. Dit maakt de aanvalstechniek bijzonder innovatief en gevaarlijk.
Nuitka vertaalt Python-code naar C en componeert daarmee een native binary, wat resulteert in een programma dat niet langer eenvoudig met standaard analysetools geëvalueerd kan worden. Dit biedt een aanzienlijk voordeel ten opzichte van bijvoorbeeld PyInstaller, dat Python-script en bytecode bundelt en dus gemakkelijker te onderzoeken is. Bovendien zorgt het ontbreken van een duidelijk bytecode-laag ervoor dat reverse engineering veel ingewikkelder is.
Volgens Malwarebytes is “de uiteindelijke payload geschreven in Python en gecompileerd met Nuitka, wat resulteert in een native macOS-binary. Dit maakt het veel moeilijker te analyseren en detecteren dan normale Python-malware.”
De volledige aanvalsketen
De aanval start met een ClickFix-lokwebpagina op het domein update-check[.]com. Deze pagina doet zich voor als een menselijke verificatiestap van Cloudflare en vraagt gebruikers om een base64-gecodeerde curl-opdracht in de macOS Terminal te plakken. Hierdoor worden beveiligingen van het besturingssysteem effectief omzeild.
Zodra de opdracht is uitgevoerd, decodeert het een Bash-script dat het tweede stadium van malware, de Nuitka-loader, wegschrijft naar de tijdelijke map /tmp. Het script verwijdert vervolgens de quarantainevlag en start het programma op via ‘nohup’. Daarna worden belangrijke command-and-control (C2)-gegevens en een token via omgevingsvariabelen doorgegeven. Tot slot verwijdert het zichzelf en sluit de Terminal af, zodat de aanval onopgemerkt blijft.
De loader zelf is een Mach-O binary van 8,6 MB, waarin een gecomprimeerd archief van 35 MB is verpakt. Dit archief bevat het derde stadium van de aanval, UpdateHelper.bin, oftewel de daadwerkelijke Infinity Stealer-malware.
Voordat de malware begint met het verzamelen van gegevens, controleert het programma of het draait in een gevirtualiseerde of sandbox-omgeving, om analyse of detectie te voorkomen.
Uit de analyse van de Python 3.11-payload blijkt dat Infinity Stealer in staat is om onder andere screenshots te maken en de volgende gevoelige informatie te verzamelen:
- Inloggegevens uit browsers die gebaseerd zijn op Chromium en Firefox
- Gegevens uit de macOS Keychain
- Cryptowallets van verschillende valuta
- Onversleutelde geheimen, zoals wachtwoorden en API-sleutels, opgeslagen in ontwikkelaarsbestanden (.env-bestanden)
Alle verzamelde gegevens worden vervolgens via HTTP POST-verzoeken naar de C2-server geëxfiltreerd. Zodra de operatie is afgerond, krijgen de aanvallers een melding via Telegram.
Malwarebytes waarschuwt dat de opkomst van malware zoals Infinity Stealer duidelijk aantoont dat de beveiligingsrisico’s voor macOS-gebruikers steeds geavanceerder en gerichter worden.
Daarom is het van cruciaal belang dat gebruikers nooit Terminal-opdrachten uitvoeren die ze online vinden en niet volledig begrijpen, om besmetting te voorkomen.
