بدافزار جدید Infinity Stealer اطلاعات macOS را از طریق طعمه‌های ClickFix سرقت می‌کند

یک بدافزار جدید سرقت اطلاعات (infostealer) با نام «Infinity Stealer» سیستم‌های macOS را هدف قرار داده است. این بدافزار از تکنیک ClickFix بهره می‌برد و با نمایش یک صفحه جعلی تأیید هویت (CAPTCHA) که ظاهر سرویس Cloudflare را تقلید می‌کند، کاربران را فریب می‌دهد تا دستورات مخرب را در ترمینال macOS اجرا کنند. محققان شرکت Malwarebytes اعلام کرده‌اند این نخستین کمپین مستند شده در macOS است که تحویل بدافزار از طریق ClickFix را با یک سارق اطلاعات مبتنی بر Python که با کامپایلر متن‌باز Nuitka کامپایل شده، ترکیب می‌کند. از آنجا که Nuitka کد Python را به زبان C تبدیل کرده و یک فایل اجرایی بومی (native binary) تولید می‌کند، تحلیل ایستا (static analysis) و مهندسی معکوس (reverse engineering) این بدافزار را به مراتب دشوارتر می‌سازد.

زنجیره حمله با یک دستور curl رمزگذاری‌شده با base64 آغاز می‌شود که کاربر فریب‌خورده آن را در ترمینال اجرا می‌کند. این دستور یک اسکریپت Bash را اجرا می‌کند که بدافزار اصلی را در مسیر موقت سیستم نصب کرده، پرچم قرنطینه (quarantine flag) سیستم‌عامل را حذف می‌کند و سپس خود را پاک می‌کند. بدافزار نهایی پیش از شروع سرقت اطلاعات، بررسی‌هایی برای تشخیص محیط‌های مجازی‌سازی‌شده یا جعبه‌شنی (sandbox) انجام می‌دهد و سپس اقدام به جمع‌آوری اطلاعاتی نظیر رمزهای عبور مرورگرهای مبتنی بر Chromium و Firefox، داده‌های Keychain سیستم‌عامل، کیف پول‌های ارز دیجیتال و اسرار متنی در فایل‌های توسعه‌دهندگان می‌کند. داده‌های سرقت‌شده از طریق درخواست‌های HTTP POST به سرور فرمان و کنترل (C2) ارسال شده و عوامل تهدید از طریق تلگرام مطلع می‌شوند.