ระวัง แอป Clipboard ปลอมบน macOS ใช้แล้วติดมัลแวร์ขโมยพาสเวิร์ด

จากรายงานโดยเว็บไซต์ Decrypt ได้กล่าวถึงการตรวจพบมัลแวร์ประเภทขโมยข้อมูล หรือ Infostealer ชื่อ PamStealer ที่มีความสามารถในการขโมยรหัสผ่านและกุญแจ (Key) สำหรับใช้ขโมยกระเป๋าเงินคริปโตเคอร์เรนซี (Crypto Wallet) ที่มุ่งเน้นการโจมตีกลุ่มผู้ใช้งานระบบปฏิบัติการ macOS โดยเฉพาะ มัลแวร์ตัวนี้ถูกสร้างขึ้นบนพื้นฐานของภาษา Rust และใช้การแอบอ้างตัวเองว่าเป็นแอปพลิเคชันสำหรับการจัดการข้อมูลบน Clipboard (Clipboard Manager) ชื่อ Maccy ซึ่งทางทีมวิจัยจาก Jamf Threat Labs ได้กล่าวว่า ถ้าเหยื่อติดตั้งแอปพลิเคชันปลอมลงบนเครื่องได้สำเร็จ ตัวมัลแวร์ก็จะเริ่มทำการขโมยข้อมูลบนเครื่องในทันที

โดยตัวแคมเปญนั้นจะเริ่มจากที่แฮกเกอร์ได้ทำการโฆษณาแอปพลิเคชันปลอมดังกล่าวทางโซเชียลมีเดียยอดนิยมอย่าง X และผ่านทางโฆษณาบนเครื่องมือค้นหา (Search Engine) อย่าง Google ซึ่งหลังจากที่เหยื่อหลงเชื่อกดเข้าไป บนเว็บไซต์จะมีไฟล์ในรูปแบบไฟล์จำลองแผ่นดิสก์ (Disk Image) ที่ภายในมีไฟล์สคริปท์แบบ Apple Script ชื่อว่า Maccy.scpt โดยถ้าเหยื่อเปิดไฟล์ดังกล่าวขึ้นมาก็จะเข้าสู่การหลอกลวงในรูปแบบที่คล้ายคลึงกับวิธี ClickFix (การหลอกให้เหยื่อทำตามคำสั่งบนหน้าจอ โดยหลอกว่าเป็นวิธีแก้ปัญหา แต่แท้จริงเป็นการหลอกให้ดาวน์โหลดติดตั้งมัลแวร์) ด้วยการแสดงภาพหน้าจอบอกให้เหยื่อรันไฟล์ดังกล่าว (ที่มีการซ่อนโค้ดมัลแวร์ไว้อยู่) ผ่านทางแอปพลิเคชัน Script Editor

ซึ่งหลังจากขั้นตอนดังกล่าวเสร็จเรียบร้อยแล้ว ตัวสคริปท์ก็จะใช้งาน JavaScript for Automation และ API บนระบบ macOS เพื่อดาวน์โหลดไฟล์มัลแวร์ (Payload) ตัวที่สองลงมาบนเครื่องซึ่งเป็นมัลแวร์ชื่อ PAMStealer ที่มีชื่อมาจากการที่มัลแวร์ตัวนี้จะทำการตรวจสอบความถูกต้องของรหัสผ่าน กับระบบ Pluggable Authentication Modules (PAM) ของ macOS ก่อนที่จะทำการขโมยแล้วลักลอบส่งออก (Exfiltration) ไปให้แฮกเกอร์ที่ เซิร์ฟเวอร์ (Server) ควบคุม (C2 หรือ Command and Control) ซึ่งมัลแวร์ตัวนี้มีความสามารถในการขโมยข้อมูลมากมายหลากรูปแบบตั้งแต่ ข้อมูลรหัสผ่านที่ถูกบันทึกไว้บน Keychain, ข้อมูลรหัสผ่านบน เว็บเบราว์เซอร์ (Web Browser) และ ข้อมูลภายใน Clipboard เป็นต้น นอกจากนั้นยังมีการปลอมตัวเป็นแอปพลิเคชัน Finder เพื่อหลอกให้เหยื่ออนุญาตให้มัลแวร์เข้าถึงข้อมูลบนฮาร์ดดิสก์แบบมีอำนาจเต็ม หรือ Full Disk Access อีกด้วย ซึ่งคำขอดังกล่าวจะปรากฏขึ้นหลังจากที่เครื่องติดมัลแวร์ไปประมาณ 40 นาที โดยถ้าเหยื่อเผลออนุมัติ ตัวมัลแวร์ก็จะเข้าถึงข้อมูลลับต่าง ๆ เช่น อีเมล, ข้อความ, และส่วนของข้อมูลสำรอง (Backup) ใน Time Machine ได้