Falsk macOS-oppdatering får deg til å lime inn kommandoen selv

Offeret søkte etter elektroforese-maskiner, klikket på et sponset søkeresultat, og nettsiden fylte skjermen med en macOS-omstartsmelding. Mens den falske oppdateringen tilsynelatende kjørte, kopierte siden stille en kommando til utklippstavlen og ba deretter brukeren åpne Terminal og lime den inn. Sikkerhetsselskapet AllSecure beskriver kampanjen i en rapport delt med The Hacker News, og knytter den til den nordkoreanske Contagious Interview-klyngen, også kjent som UNC5342.

«Opplevelsen er designet for å utløse panikk. Maskinen ser ut til å ha frosset eller startet på nytt, så en bruker som tror operativsystemet har feilet, følger instrukser vedkommende ellers ville funnet mistenkelige.» — AllSecure

Teknikken heter ClickFix og er godt kjent. Det nye er inngangen. Tidligere Contagious Interview-kampanjer startet med et falskt jobbtilbud, en videovurdering eller en kodetest. Denne startet med et helt vanlig nettsøk. Aktiveringen er dessuten engangs, så et forsøk på å reprodusere sekvensen gir ikke samme resultat.

Kommandoen henter en Node.js-bakdør som fester seg via en LaunchAgent og slår opp kontrollserveren i en Ethereum-smartkontrakt. Teknikken kalles EtherHiding og gjør infrastrukturen vanskelig å ta ned. Bakdøren sjekker inn hvert femte minutt og kjører JavaScript-koden den får tilbake.

Nyttelasten er grunnen til at dette angår deg som utvikler. Tyveriprogrammet henter data fra Chrome, Brave, Edge, Firefox, Opera og Vivaldi, fra 157 kryptolommebøker, og fra SSH-, AWS-, Azure- og npm-nøkler. Den andre nyttelasten er en falsk «Google Drive Offline»-utvidelse som sideslastes ved å patche Chromes Secure Preferences-fil.

Christian Papathanasiou, medgrunnlegger og daglig leder i AllSecure, sier at nordkoreanske kampanjer ofte beskrives gjennom falske jobbintervjuer og utviklerrekruttering, men at denne saken viser samme operasjonelle logikk i et bredere surfescenario. Jobbtilbud-mønsteret består, ifølge ham, mens trusselbildet utvides.

Hva bør du gjøre?

1. Behandle enhver instruks om å lime inn en kommando i Terminal som et angrep, uansett hvor legitim siden ser ut. Ekte macOS-oppdateringer ber deg aldri åpne Terminal.
2. Roter SSH-, AWS-, Azure- og npm-nøkler på maskiner der noen kan ha kjørt en ukjent Terminal-kommando, og gå gjennom mappen Library/LaunchAgents for oppføringer du ikke kjenner igjen.