Atomic macOS Stealer fertőzési lánc
A Palo Alto Unit 42 elemzése az Atomic macOS Stealer (AMOS) egyik 2026. augusztusi fertőzési láncát mutatja be. Az AMOS egy szolgáltatásként értékesített információlopó kártevő, amely macOS-rendszerekről böngészőben tárolt jelszavakat és munkamenet-adatokat, kriptotárcákat, Telegram-adatokat, dokumentumokat és más érzékeny információkat gyűjt. Terjesztésében hamis vagy feltört szoftverek, rosszindulatú hirdetések és egyre gyakrabban ClickFix-szerű módszerek jelennek meg.
A vizsgált esetben egy macOS toolkit telepítőoldal arra utasította a felhasználót, hogy másoljon be egy parancsot a Terminalba. A parancs egy Zsh-szkriptet töltött le, amely Base64-be kódolt és GZIP-pel tömörített következő lépcsőt bontott ki, majd egy Mach-O binárist indított el. A kártevő perzisztens komponenseket helyezett el a Library/Application Support alatt, miközben hozzáférést próbált szerezni többek között a Finder, Desktop, Documents és Notes adataihoz.
Az összegyűjtött adatokat a fertőzött gépen ideiglenesen a /tmp könyvtárban tárolta, majd out.zip állományba csomagolta és HTTP POST kérésekkel továbbította a támadói infrastruktúrára. A Unit 42 külön felhívja a figyelmet arra, hogy az AMOS C2-címei és más indikátorai gyorsan változnak, ezért a kizárólag hash-, IP- vagy domainalapú blokkolás kevés. Hasznosabb a böngészői credential-adatbázisokhoz, kriptotárcákhoz és Telegram-adatokhoz történő szokatlan hozzáférés, a gyanús Zsh/AppleScript folyamatok, valamint a rejtett Application Support komponensek viselkedésének figyelése.
Felhasználói oldalon a legfontosabb jel maga a telepítési folyamat, egy weboldal által adott, Terminalba bemásolandó parancsot nem szabad legitim macOS-telepítésként kezelni, különösen tört vagy nem hivatalos szoftver esetén. Sikeres AMOS-fertőzés után a malware eltávolítása mellett az érintett böngésző- és felhős munkamenetek visszavonása, a jelszavak cseréje és a kriptotárcák ellenőrzése is indokolt, mivel a kártevő célja éppen a később újra felhasználható hitelesítési és pénzügyi adatok megszerzése.
