Исследователи зафиксировали появление вредоносной платформы Odyssey Stealer — macOS‑варианта ранее известной Windows‑семейства ClickFix. Кампания использует хорошо поставленную социальную инженерию и нестандартные векторы доставки, чтобы заставить пользователя самостоятельно запустить вредоносную нагрузку и передать ей права администратора.
Как начинается атака
Атака стартует с фишинговой рассылки, которая направляет жертву на фальшивый сайт hxxps://tradingviewen[.]com. Для продолжения посетителя просят пройти CAPTCHA и выполнить дополнительные действия в браузере — при этом применяются поддельные диалоговые окна и иные методы обмана, вынуждающие пользователя взаимодействовать с ресурсом.
Вектор доставки и эскалация прав
Основная полезная нагрузка для macOS доставляется через AppleScript, который запускается в Terminal и явно запрашивает у пользователя системный пароль для выполнения операций с повышенными привилегиями. Получение таких прав позволяет вредоносному ПО развернуть сбор широкого набора конфиденциальных данных с заражённого хоста.
Что похищает Odyssey Stealer
- Общее credential harvesting — сохранённые логины и пароли;
- Данные криптокошельков, обнаруженные на машине;
- Артефакты браузеров, в частности браузеров на базе Firefox и Chromium: cookies, сохранённые логины, история автозаполнения форм и ключи шифрования.
Собранные данные предварительно копируются во временный рабочий каталог для дальнейшей упаковки и передачи.
Механизм эксфильтрации
После сбора вредоносная программа упаковывает данные в ZIP‑архив и сохраняет его по пути /tmp/out.zip. Экcфильтрация реализована просто: архив отправляется на удалённый сервер по адресу hxxp://45.146.130.131/log с использованием команды curl. Это классический конвейер данных в стиле C2.
Эволюция кампании и методы обхода
Отмечается эволюция от атак на Windows к целенаправленным кампаниям против macOS. При этом злоумышленники применяют методы обфускации для затруднения обнаружения традиционными средствами защиты и делают ставку на социальную инженерию через Terminal для получения первоначального доступа.
NGFW идентифицирует фишинговый сайт как «Похититель файловой текстовой информации, использующий поддельные диалоговые окна браузера».
Индикаторы компрометации (IOCs)
- Фишинговый ресурс: hxxps://tradingviewen[.]com;
- Команда эксфильтрации: curl → hxxp://45.146.130.131/log;
- Путь временного архива: /tmp/out.zip;
- Дроппер: AppleScript (.scpt), запускаемый в Terminal;
- Целевые браузеры: Firefox, Chromium‑based browsers.
Рекомендации по защите
- Блокировать фишинговые URL на стадии приманки (включая obfuscated адреса вроде hxxps://tradingviewen[.]com);
- Включить детекцию и блокировку AppleScript‑дропперов (.scpt) в решениях endpoint‑security;
- Ограничить исходящий трафик к известной инфраструктуре C2 (блокировка IP/URL) и мониторить необычные запросы на hxxp://45.146.130.131/log или аналогичные ресурсы;
- Усилить внимание пользователей: не вводить системный пароль по запросу сайтов или неизвестных скриптов в Terminal;
- Проверять целостность и настройки браузеров, а также при возможности использовать HW‑ключи и MFA для критичных сервисов и криптокошельков.
Вывод
Кампания с использованием Odyssey Stealer демонстрирует сдвиг внимания злоумышленников в сторону macOS и показывает, что злоумышленники готовы комбинировать обфускацию, социальную инженерию и простые, но эффективные механизмы эксфильтрации по HTTP. Главная цель — массовый сбор учетных данных и данных криптокошельков с последующей передачей на внешнюю инфраструктуру.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Odyssey Stealer — ориентированный на macOS похититель учетных данных и криптокошельков".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.