حمله جدید ClickFix در macOS به‌طور مخفیانه فایل‌های DMG را نصب می‌کند تا بدافزار سرقت اطلاعات را منتشر کند

محققان شرکت Palo Alto Networks Unit 42 یک کمپین جدید بدافزاری برای macOS کشف کرده‌اند که از تکنیک ClickFix برای آلوده کردن دستگاه‌های مک استفاده می‌کند. در این حمله، کاربران با یک صفحه جعلی تأیید هویت (CAPTCHA) مواجه می‌شوند که از آن‌ها می‌خواهد یک دستور مخرب را در برنامه Terminal اجرا کنند. این دستور به‌صورت خودکار یک فایل تصویر دیسک (DMG) را از سرور مهاجم دانلود کرده، آن را با ابزار بومی macOS به نام hdiutil نصب می‌کند و بدافزار سرقت اطلاعات Atomic macOS Stealer (AMOS) را اجرا می‌نماید. این بدافزار قادر است اطلاعات مرورگرها، کیف پول‌های ارز دیجیتال، پایگاه داده Keychain، اطلاعات پیام‌رسان‌ها و اسناد کاربر را به سرقت ببرد.

بدافزار AMOS هشت مرورگر مبتنی بر Chromium از جمله Chrome، Edge و Brave، و همچنین مرورگرهای مشتق از Firefox مانند Tor Browser را هدف قرار می‌دهد و داده‌هایی نظیر کوکی‌ها، رمزهای عبور ذخیره‌شده و اطلاعات کارت‌های بانکی را می‌دزدد. از نکات قابل توجه، این بدافزار نسخه‌های قانونی نرم‌افزارهای مدیریت کیف پول سخت‌افزاری Ledger Live و Trezor Suite را با نسخه‌های مخرب جایگزین می‌کند تا ارزهای دیجیتال کاربران را به سرقت ببرد. تمامی داده‌های جمع‌آوری‌شده در یک فایل فشرده ZIP ذخیره و به سرور مهاجم ارسال می‌شوند. کارشناسان توصیه می‌کنند کاربران هرگز دستوراتی را که وب‌سایت‌ها در قالب تأیید هویت یا رفع خطا ارائه می‌دهند، در Terminal اجرا نکنند.