.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
趨勢科技的研究人員檢測到Mac惡意軟件MacStealer通過網站、社交媒體和消息平台Twitter、Discord和Telegram大肆傳播。 MacStealer，是使用Telegram 作為命令和控制(C2) 平台來竊取數據的最新威脅示例。它主要影響運行macOS 版本Catalina 以及之後運行在M1 和M2 CPU 上的設備。現在該惡意程序又有了新的傳播途徑，攻擊者通過假冒合法的遊戲賺錢(P2E)應用程序的圖片，引誘受害者下載它。 P2E是Play-to-earn 的縮寫,允許玩家通過玩遊戲來產生穩定的加密收入。每個遊戲的機制可能不同,但獎勵通常來自質押、刷遊戲幣或生成可交易的NFT物品。
趨勢科技的研究人員最近分析了一種名為MacStealer的Mac惡意軟件(檢測為TrojanSpy.MacOS.CpypwdStealer.A)，這是一種加密貨幣錢包和信息竊取程序，偽裝成合法遊戲賺錢(P2E)遊戲應用程。研究人員已經發現MacStealer的源代碼已經通過在線公共掃描服務洩露。該惡意軟件目前通過第三方網站傳播，使用從真實P2E應用程序中竊取的圖像和圖形，並在社交媒體和消息平台Twitter、Discord和Telegram上傳播。惡意軟件背後的攻擊者會偽裝成一家合法的遊戲公司，尋找測試人員，並吸引潛在的受害者下載他們的應用程序。
引誘新玩家與其他在感染設備的同時重定向用戶的假冒應用程序不同，攻擊者沒有假裝創建遊戲，只是從現有的P2E中復制。 Twitter賬戶和網站只是吸引用戶下載MacStealer的幌子。一旦惡意軟件執行，用戶就會在GUI提示中輸入各自的密碼，存儲在設備中的特定信息就會被竊取。
研究人員的傳感器在例行檢查中檢測到了高危示例進行分析，經過仔細檢查，發現worldofcretures[.]io網站與示例有關，該網站在Twitter上得到了大肆傳播。
檢查該網站後台發現假冒應用程序的頁面是在2023年1月才創建的，所有的圖形和文本都是直接從另一個P2E應用程序的網站上獲取的。這款假冒應用程序的推特頁面圖像也直接取自合法應用程序的社交媒體頁面，於2022年10月創建，與2021創建的合法應用程序帳戶相比，這是相對較新的。不知情的受害者可能沒有聽說過這款遊戲，他們很容易將假冒頁面誤認為是合法應用程序的原始遊戲和官方社交媒體賬號。
真實遊戲的網頁（上）和假冒遊戲的網頁（下）
這些網站在很多方面都有所不同（例如圖形、名稱和公司），如果感興趣的用戶知道這些細節，這些網站仍然可以識別。社交媒體帖子包括下載該應用程序的促銷活動，讓新玩家似乎只要連接到Discord渠道並下載遊戲就可以獲得免費贈品。一旦用戶加入攻擊者的渠道，攻擊者就會通過聊天說服用戶點擊惡意鏈接或下載惡意軟件文件。
假冒應用程序的帖子示例，用於重定向潛在受害者，並在Discord上“下載”遊戲
技術細節一旦受害者下載了遊戲，一個名為LauncherMacOS的.dmg文件，dmg（SHA256:8ea33c34645778b79dd8bb7dcf01a8ad1c79e7ada3fd61aca397ed0a2a57276，被Trend Micro檢測為TrojanSpy.MacOS.CypwdStealer.A）在系統中執行。簽名如下：
特別簽名在ARM64 M1蘋果處理器上尤為重要。它要求所有本機代碼都有有效的簽名（如果只是臨時的），否則操作系統將不會執行它。相反，它會在啟動時阻止本機代碼。
在檢查dmg中的應用程序包時，研究人員觀察到它包含以下使用Python編譯器Nuitka編譯的Mach-O二進製文件：
啟動器（SHA256:5e8f37420efb738a820e70b55a6b6a669222f03e4a8a408a7d4306b3257e12ff，被Trend Micro檢測為TrojanSpy.MacOS.CpypodStealer.A）Nuitka是一個不常見的編譯器，在測試過程中，主要的Mach-O顯示出可疑的網絡活動。研究人員還注意到Nuitka可以將Python腳本編譯成Mach-O二進製文件。
DMG示例的應用程序捆綁內容
程序本身分為兩個階段。第一個階段是Nuitka引導程序的執行。就其本身而言，邏輯本身是無害的，但會將惡意負載釋放到目標路徑，而第二階段是執行惡意負載。
惡意軟件的第一階段實現以下例程：
1.它從一個名為“有效載荷”的特殊部分讀取內容。
由惡意軟件二進製文件提取的部分
2. 它將內容寫入路徑為
第二階段Mach-O二進製文件釋放到系統上
3.它將環境變量NUITKA_ONEFILE_PARENT更改為當前進程號。
4.它執行提取內容的主要可執行文件，並清理引導版本本身。
第二階段可執行文件是一個基於CPython實現的程序，該程序由Nuitka從Python編譯而成。在編譯過程中，編譯器會清除部分信息以提高程序的執行效率，而Nuitka轉換的Python代碼完全清除了原始字節碼，無法恢復。由於不可逆的編譯過程，研究人員無法從Python源代碼的角度對其進行分析，但函數名稱和動態行為日誌提供了大量信息。
1.它試圖從以下錢包中竊取數據：
Binance
Exodus
Keplr
Metamask
Phantom
Trust wallet
用於竊取錢包數據的函數
2.它試圖竊取瀏覽器數據和密鑰鏈。在測試過程中，研究人員在系統上使用以下命令發現了該示例，用於文件/目錄發現和系統信息收集：
/bin/sh -c uname -p 2 dev/null
/bin/sh -c security default-keychain
用於竊取鑰匙鍊和錢包數據的函數
3.它使用chainbreaker轉儲鑰匙鏈。
4.彈出對話框，使用osascript騙取用戶密碼，命令如下：
對話框標題為“系統首選項”，圖標警告默認答案為“隱藏答案”。
獲取受害者密碼的對話框
5.它試圖將收集到的信息以Zip文件的形式發送到命令與控制（CC）服務器mac[.]cracked23[.]網站。
洩露數據的網絡數據包（頂部）和Zip文件的內容
發送到CC服務器的general_info.txt文件的內容
一旦下載並在受害者的系統中運行，MacStealer就會竊取受害者的錢包數據，並清空加密貨幣錢包。如果受害者沒有加密貨幣錢包，惡意軟件就會竊取用戶信息和鑰匙鏈。
通過社交媒體和其他平台傳播在掃描其他社交媒體帖子時，研究人員發現了攻擊者嘗試傳播MacStealer惡意軟件的努力。考慮到使用的戰術、技術和過程（TTP）是相似的，這個示例和部署可能是一個組織完成的。在本節中，我們以Impulse Flow假冒應用程序為例。
攻擊者創建一個Twitter賬戶和相關網站來宣傳假冒的遊戲應用。以下是一個帶有驗證圖標的Twitter賬戶示例。然後，他們將游戲宣傳為基於區塊鏈技術的免費P2E在線遊戲。
有一個鏈接樹鏈接，其中包含到他們其他通道的鏈接，Linktree 是一家在線工具平台，可以讓你在社交媒體上展示自己或品牌的多個網站鏈接。 Linktree 的主要業務是提供一個簡單易用的工具，讓用戶能夠在Instagram、TikTok、Twitter 等社交媒體上分享多個鏈接，從而幫助他們更好地展示自己或品牌，增加流量、轉化率和銷售額，其中包含指向其他渠道的鏈接：
Website: https[:]//play-impulseflow[.]com/
Website: https[:]//impulse-flow[.]gitbook[.]io/impulse_flow-whitepaper/
Website: https[:]//github[.]com/ImpulseFlowBeta/1[.]0[.]3
Discord: https[:]//discord[.]gg/Impulse-flow
Twitter: https[:]//twitter[.]com/lmpulse_Flow
Telegram: https[:]//t[.]me/impulseflow_official
圖片搜索查詢顯示，推特和其他社交媒體賬戶中使用的媒體(圖片和視頻)抄襲了遊戲《余烬之剑》 (EmberSword)。 Ember Sword是一個多資產的虛擬經濟遊戲，其主要功能是支持用戶社區購買，出售和使用遊戲專屬虛擬資產。在Ember Sword中，用戶可以購買，出售和發行各種遊戲幣和令牌，包括經典貨幣，裝備，材料和其他供玩家交易的內容，這種內容可以用來升級角色，改善遊戲內的經濟秩序，以及豐富遊戲體驗。攻擊者利用這些平台誘使潛在受害者執行惡意軟件可執行文件。所觀察到的一些方法如下：
1.他們將其宣傳為一款公測遊戲，並吸引人們參與他們的測試計劃以換取獎勵。這些測試人員被邀請加入攻擊者的Discord或Telegram渠道，在那裡他們會得到惡意軟件二進製文件或下載惡意軟件二進製文件的鏈接。在某些情況下，鏈接或文件將需要密碼，他們通過Discord或Telegram渠道接收:https[://]twitter.com/lmpulse_Flow/status/1633735911782400000。
輸入密鑰可以讓潛在的受害者下載MacStealer惡意軟件二進製文件
2.他們直接向內容創造者傳達信息，幫助他們推廣遊戲。這被懷疑是一種針對這些有影響力的人的社會工程策略。
https[://]twitter.com/powrdragn/status/1638024217412390913
https[://]twitter.com/ender_thien/status/1637659072379101185
https[://]twitter.com/naerycrypto/status/1637226997817692161
https[://]twitter.com/CiervoKing/status/1637220583736762370
3.他們發布虛假的職位空缺，並引誘求職者下載他們的惡意軟件二進製文件：https://twitter.com/witty_taeil/status/s1631654308218298368。
一些人在推特賬戶上發布了關於與假冒遊戲應用程序和網站相關的惡意活動的警告。
一些用戶據稱是MacStealer惡意軟件的受害者
總結雖然P2E遊戲並不新鮮，但它正在重新引起人們的興趣，越來越受歡迎，而攻擊者也在努力利用這一不斷增長的趨勢。 MacStealer惡意軟件只是眾多利用P2E吸引力的惡意軟件之一。 P2E遊戲玩家最適合成為攻擊目標，因為這些遊戲的經濟模式要求他們使用加密貨幣和錢包。
安全研究人員可以發現，考慮到攻擊者使用Discord和Telegram直接與受害者溝通，使用不常見的手段傳播惡意軟件，調查分析惡意軟件並不容易。
該惡意軟件似乎並不復雜，由於原始代碼是Python腳本，因此使用它只需較低的技能。考慮到原始代碼是使用Nuitka編譯成Mach-O二進製文件的Python腳本，儘管這會使反編譯變得困難，因此其本身並不復雜。這對分析師來說可能很難進行逆向工程，因為儘管它很簡單，但使用Nuitka編譯Mach-O二進製文件表明，對一個好目標進行適當的攻擊可以獲得巨大的回報。在這種情況下，他們針對的是經常使用加密錢包的P2E遊戲玩家。攻擊者收集的大部分利潤來自通過社交工程技術竊取的加密貨幣，將惡意軟件發送到用戶的設備(即網站、Twitter賬戶和其他相關渠道)。
Discord為各種目的提供渠道，其中包括P2E遊戲和用戶。作為一個逐漸成為玩家交換信息的平台，在Discord中下載鏈接以訪問遊戲——無論是作為用戶還是測試人員——可能不會立即在受害者中引發危險信號。這也增加了攻擊者選擇該平台傳播惡意軟件的可能性。然而，一名受害者指出，攻擊者的渠道明顯缺乏互動，並將這些細節標記為對其他人的警告。其他用戶警告稱，只要他們要求截屏或發布警告推文，他們就會立即被這些渠道封殺。
此外，由於最近Twitter所有權的中斷和賬戶驗證政策的變化，攻擊者似乎濫用它來輕鬆獲得一個經過驗證的賬戶。這提供了一種合法性的假象，以提高假冒應用程序和賬戶的社交工程能力。使用這種技術也可以很容易地在TikTok、YouTube和Facebook等其他平台上宣傳。
為了避免和防禦像MacStealer這樣的威脅，研究人員強烈建議謹慎安裝來自非官方來源和應用程序平台的應用程序。為設備啟用最新的安全解決方案還可以幫助檢測、阻止和緩解這類威脅的風險。
根據POC我們可以寫出對應的Python測試代碼：
為了便於測試，Python測試代碼在發送POST數據時添加了代理，我們可以藉助BurpSuite觀察實際發送的內容，如下圖
0x05 小結本文介紹了通過修改Python Requests庫禁用編碼url的方法，也給出了C Sharp禁用編碼url的實現代碼，記錄研究細節。
