نوع جدید بدافزار سرقت اطلاعات SHub در macOS با جعل هویت به‌روزرسانی‌های امنیتی اپل

محققان شرکت SentinelOne یک نسخه جدید از بدافزار سرقت اطلاعات (infostealer) مک‌اواس با نام «Reaper» را شناسایی کرده‌اند که نوع تکامل‌یافته‌ای از خانواده بدافزار «SHub» محسوب می‌شود. این بدافزار از زبان برنامه‌نویسی AppleScript برای نمایش یک پیام جعلی به‌روزرسانی امنیتی اپل استفاده می‌کند و با دور زدن محدودیت‌های جدید macOS Tahoe 26.4 که اپل در اواخر مارس معرفی کرده بود، قادر است اطلاعات مرورگرها، کیف‌پول‌های ارز دیجیتال (cryptocurrency wallets)، داده‌های iCloud، نشست‌های تلگرام و فایل‌های حساس را به سرقت ببرد. کاربران از طریق نصب‌کننده‌های جعلی اپلیکیشن‌های WeChat و Miro که روی دامنه‌های فریبنده میزبانی می‌شوند، هدف قرار می‌گیرند و تمام داده‌های جمع‌آوری‌شده از طریق یک ربات تلگرامی به مهاجم ارسال می‌شود.

Reaper همچنین دارای ماژول «Filegrabber» برای جمع‌آوری فایل‌های حساس از پوشه‌های Desktop و Documents است و با جایگزین کردن فایل‌های اصلی کیف‌پول‌های دیجیتال با نسخه‌های مخرب، این برنامه‌ها را تحت کنترل می‌گیرد. این بدافزار با نصب یک اسکریپت که هر دقیقه اجرا می‌شود و خود را به‌عنوان به‌روزرسانی نرم‌افزار گوگل جا می‌زند، پایداری (persistence) در سیستم ایجاد می‌کند. نکته قابل توجه آن است که بدافزار پیش از آلوده‌سازی، زبان ورودی روسی را بررسی کرده و در صورت تشخیص، بدون اجرای عملیات سرقت، سیستم را ترک می‌کند. SentinelOne هشدار داده که این بدافزار در حال گسترش قابلیت‌های خود به سمت دسترسی از راه دور (remote access) به دستگاه‌های آلوده است.