В статье рассматриваются реальные примеры фрагментов вредоносного кода исключительно в исследовательских и образовательных целях. Они приведены для демонстрации принципов работы угроз и повышения уровня осведомлённости в области кибербезопасности.

Автор не несёт ответственности за возможные последствия неправомерного использования приведённой информации.

Распространение вредоносных компьютерных программ, умышленное нарушение работы компьютерных систем, несанкционированный доступ к данным и иные подобные действия преследуются по закону.

Многие пользователи Apple верят, что их устройства «неуязвимы», и поэтому игнорируют базовые меры кибербезопасности: не устанавливают регулярные обновления ОС и приложений, не используют антивирусное ПО, а также скачивают и устанавливают ПО из непроверенных источников.

Немаловажную роль в этом заблуждении сыграла и маркетинговая кампания Apple в периоды с 2006 по 2009, где утверждалось, что устройства Apple не подвержены заражению вредоносным программным обеспечением, в отличии от «PC».

Такое ложное ощущение безопасности только играет на руку злоумышленникам, ведь беспечное поведение пользователей только упрощает проведение атак

Несмотря на то, что доля рынка MacOS значительно ниже Windows за последние два года можно заметить тенденцию роста атак на устройства платформы MacOS (см тут, тут и тут).

Собственно с такого вступления мне хотелось бы начать дебютную статью об анализе кода стиллера AMOS.

Сам же AMOS реализован на AppleScript, вся внутренняя логика сбора и передачи данных встроена прямо в скрипте, что делает его независимым от сторонних библиотек и удобным для распространения.

AMOS распространяется по бизнес-модели MaaS (Malware as a Service), а его стоимость колеблется в диапазоне от 1000$ до 3000$ в зависимости от уровня подписки, которая определяет набор функций стиллера. Такая стоимость обусловлена тем, что на "рынке" в принципе очень мало подобных предложений, в отличии от Windows-систем, где стиллеры на подобии RedLine или Lumma C2 стоят в диапазоне от 100$ до 500$.
Достаточно высокая стоимость делает его относительно недоступным для менее опытных или недостаточно обеспеченных злоумышленников. Но для более опытных и финансово-ориентированных преступников AMOS становится привлекательным инструментом, позволяющий быстро начать "лить трафик" с MacOS-устройств.

Честно говоря, я не считаю нужным рассматривать функции по определению размера файла, создания/определения директорий, определение пути к файлу, копирования и тд. Потому эти моменты будут намерено опущены

SandBox Evasion

В первую очередь хочется рассмотреть Evasion-технику, используемую стиллером для предотвращения запуска в песочницах.

Рассмотрим выполнение скрипта по частям.
Получает информацию о памяти системы: команда system_profiler SPMemoryDataType выводит детали о RAM:

set memData to do shell script "system_profiler SPMemoryDataType"

Далее получает информацию о железе: CPU, модель, серийники:

set hardwareData to do shell script "system_profiler SPHardwareDataType"

После уже проверяет признаки виртуально машины: ищет строки QEMU, VMware, KVM. Z31FHXYQ0J, C07T508TG1J2, C02TM2ZBHX87 - серийные номера известных VM. Chip: Unknown, Intel Core 2 - старые или неопределенные процессоры.

if memData contains "QEMU" or memData contains "VMware" or memData contains "KVM" or hardwareData contains "Z31FHXYQ0J" or hardwareData contains "C07T508TG1J2" or hardwareData contains "C02TM2ZBHX87" or hardwareData contains "Chip: Unknown" or hardwareData contains "Intel Core 2" then
    set exitCode to 100
else
    set exitCode to 0
end if

Если что-то из проверок совпало, то скрипт считает, что это VM и ставит значение exitcode равную 100, а после завершает выполнение с кодом возврата

do shell script "exit " & exitCode

InstallBot - закрепление в системе

Далее нас уже встречает интересная функция InstallBot, которая используется для закрепления в системе путем создания службы LaunchDaemon.
Работает следующим образом:

1. Создает Plist-файл для LaunchDaemon:

   • Label = com.finder.helper - идентификатор службы.

   • ProgramArguments - указывает на бинарь .agent, который будет запускаться через /bin/bash

   • RunAtLoad = true - агент запускается автоматически при старте системы

   • KeepAlive = true - агент автоматически перезапускается, если по какой-то причине завершился

2. Скачивает бинарь с сервера:

   • Забирает файл app с эндпоинта /zxc/app на сервере botUrl;

   • Сохраняет его в профиле пользователя как скрытый файл .helper;

   • Делает его исполняемым (chmod +x);

3. Создаёт скрипт .agent, который:

   • Работает в бесконечном цикле;

   • Определяет, какой пользователь сейчас залогинен (/dev/console);

   • Если это обычный пользователь (не root), запускает .helper под его учётной записью через sudo -u;

4. Устанавливает и запускает LaunchDaemon:

   • Временно сохраняет plist в /tmp/starter;

   • Копирует его в /Library/LaunchDaemons/com.finder.helper.plist с владельцем root:wheel;

   • Загружает службу com.finder.helper c помощью launchctl;

ReplaceApp - подмена приложения

Далее мы видим функцию replaceApp, которая отвечает за замену приложения Ledger Live

1. Проверка и подготовка окружения:

   • Определяет путь к целевому приложению: /Applications/Ledger Live.app;

   • Убеждается, что приложение присутствует (через list folder);

   • Формирует путь к скрытому файлу-маркеру (.private) в профиле пользователя и удаляет старую версию;

2. Создание маркера заражения:

   • В .private записывается строка "user16"
     Вероятно, этот маркер используется для идентификации жертвы или состояния заражения;

3. Загрузка поддельного приложения:

   • С C2-сервера (appUrl) по эндпоинту /zxc/app.zip скачивается архив с поддельным приложением;

   • Сохраняет архив по пути /tmp/app.zip;

4. Удаляет оригинальное приложение Ledger Live:

   • Пробует завершить процесс Ledger Live (через pkill);

   • С помощью sudo и переданного пароля (pass) полностью удаляет оригинальную директорию приложения из /Applications от имени root;

5. Устанавливает фишинговый Ledger Live:

   • Распаковывает содержимое архива app.zip в /Applications, тем самым подменяя легитимный Ledger Live на вредоносный;

6. Зачищает следы:

   • Удаляет архив /tmp/app.zip;

Само же поддельное приложение выглядит следующим образом, уведомляя нас о том, что якобы была обнаружена подозрительная активность, поэтому нас выкинуло из аккаунта Ledger:

После нажатия «Restore» открывается страница для ввода seed‑фраз, очевидно, что он используется для кражи seed‑фраз кошелька Legder

Впрочем о данной «фиче» давно было известно из официального Telegram‑канала стиллера

GrabFolderLimit - Ограниченный сбор пользовательских файлов

Функция GrabFolderLimit рекурсивно копирует содержимое директорий (T1005, T1074.001):

1. Пропускает файлы и папки из заранее заданного списка исключений (exceptionsList)

2. Суммарный размер скопированных файлов ограничен 10 МБ

3. Сохраняет структуру каталогов при копировании

GrabFolder - Сбор пользовательских файлов

Функция GrabFolder делает все то же самое, что и GrabFolderLimit, но не ограничена суммарным размеров файлов

parseFF - сбор данных с FireFox

Функция parseFF используется для сбора данных с браузера Firefox (T1555.003, T1005, T1074.001)

Подробнее:

1. Определяет ключевые файлы для сбора

   • /cookies.sqlite — куки;

   • /formhistory.sqlite — история форм;

   • /key4.db — ключ шифрования профиля;

   • /logins.json — сохранённые логины и пароли;

2. Проходит по каждому профилю в указанной директории браузера

3. Копирует все перечисленные файлы во временную рабочую директорию, сохраняя структуру профиля

Так же можно заметить какие еще профили форков Firefox прописаны:

CheckValid - проверка корректности введённого/сохранённого пароля

Функция checkvalid проверяет правильно ли введены логин и пароль пользователя MacOS, а далее возвращает true, если аутентификации успешна и false - если нет

Получение пароля пользователя

Функция getpwd пытается получить доступ к паролю Chrome из связки ключей macOS
Если это не удаётся, подсовывает пользователю фишинговое системное окно, чтобы украсть его пароль к учётке.

Сохраняет пароль в во временную рабочую директорию (writemind).

Подробнее:

1. Попытка получения пароля из macOS Keychain

   • Выполняется проверка корректности логина без пароля через функцию checkvalid;

   • Если проверка успешна, выполняется команда: security find-generic-password -ga "Chrome" | awk "{print $2}", эта команда пытается получить пароль от Chrome из связки ключей;

   • Полученный пароль записывается во временную рабочую директорию в файл masterpass-chrome;

2. Фишинговый сценарий при неудаче:

   • Если пароль не удалось получить «легальным способом» или проверка checkvalid не успешна, функция запускает диалоговое окно macOS (display dialog), маскируя его под системное уведомление;

   • Пользователь вводит пароль вручную;

   • Скрипт проверяет введённый пароль через checkvalid;

   • Если пароль корректен, он сохраняется в во временную рабочую директорию в файл pwd;

3. Возврат результата:

   • Функция возвращает строку с полученным паролем (из keychain или введённый пользователем);

   • Если пароль не был получен - возвращает пустую строку

GrabPlugins

Функция grabPlugins ищет и копирует данные определённых плагинов/расширений браузера, включая IndexedDB и LevelDB, потенциально получая учётные данные и локальные хранилища

Подробнее:

1. Сканирование папки плагинов

   • Функция получает список файлов и папок в paths;

   • Для каждого элемента проверяет, содержится ли он в pluginList;

2. Сбор данных

   • Если элемент совпадает с целевым плагином, формируется путь к исходным данным (newpath) и путь для сохранения (newsavepath);

   • Если параметр index = true, к newsavepath добавляется /IndexedDB/;

   • Функция вызывает GrabFolder, чтобы рекурсивно скопировать файлы из исходного пути в целевую директорию;

3. Сбор дополнительных локальных хранилищ

   • Независимо от конкретного плагина, копируются данные из папки Local Storage/leveldb/ в savePath;

Сбор данных с Chromium

После мы видим функцию chromium, которая на самом деле является полноценным модулем для сбора данных из chromium-based браузеров, включая логины, пароли, расширения IndexedDB, автозаполненных форм, плагинов и тд.
Можно увидеть большой список ID расширений chrome

Подробнее:

1. Определение целевых расширений

   • Создаётся список pluginList, содержащий ID интересующих расширений;

2. Определение ключевых файлов браузеров

   • Файлы, которые нужно скопировать: /Network/Cookies, /Cookies, /Web Data, /Login Data, /Local Extension Settings/, /IndexedDB/;

3. Обход профилей браузеров

   • Проверяются папки профиля (Default или Profile*);

   • Для каждого ключевого файла выполняются различные действия;

   • /Network/Cookies -> переименовывается в /Cookies;

   • /Local Extension Settings/ -> вызывается функция grabPlugins для копирования расширений;

   • /IndexedDB/ -> также вызывается grabPlugins с параметром index=true;

   • Остальные файлы копируются напрямую с помощью readwrite;

4. Сбор расширений и локальных хранилищ

   • Через grabPlugins собираются IndexedDB, LevelDB и другие локальные данные расширений браузера;

5. Сохранение данных

   • Все собранные данные складываются в структуру папок внутри writemind, с учётом названия браузера и профиля;

Список плагинов на скрине был намеренно уменьшен, поскольку в нем хранится 197 строк ID плагинов

Функция chromium так же использует массив chromiumMap, где описан для определения путей профилей каждого из chromium-based браузера, как можем видеть, данные собираются из следующих браузеров: Chrome, Brave, Edge, Opera, OperaGX, Chrome Beta, Chrome Canary, Chromium, Chrome Dev, Arc и Coccoc

Однако мы не видим браузера Яндекс (который тоже основан на Chromium), как это было заявлено в их Telegram-канале. Либо это особенность конфигурации, заданой при генерации билда, либо разработчики по какой-то причине отказались собирать с Яндекса данные

Теперь важно разобраться, какие именно расширения являются целью злоумышленников.
Сделать это довольно просто, достаточно написать скрипт, который пробежится по каждому ID в URL https://chrome.google.com/webstore/detail/ и соберёт названия расширений

Полный список:

Процентное соотношение: криптокошельки - 87,6%, менеджеры паролей - 7,2%, аутентификаторы (2FA) - 2,1%, неизвестно - 3,1%
Количественное соотношение: криптокошельки - 170, менеджеры паролей - 14, аутентификаторы (2FA) - 4, неизвестно - 6

Сбор данных с Telegram

Функция telegram копирует директорию tdata предоставляя злоумышленнику доступ от аккаунта Telegram

Подробнее:

1. Определяется путь к папке Telegram Desktop;

2. Вызывается функция GrabFolder, которая рекурсивно копирует всю содержимое tdata в папку назначения внутри временной рабочей директории

Сбор данных с кошельков

Функция deskwallets предназначена для сбора локальных файлов криптовалютных кошельков.

Подробнее:

1. Для каждого кошелька из списка deskwals:

   • Определяется исходный путь к кошельку;

   • Вызывается функция GrabFolder, которая рекурсивно копирует все файлы кошелька во временную рабочую директорию, сохраняя структуру директорий

Сам же список deskwallets выглядит следующим образом:

Функция filegrabber является модулем для сбора данных, основной заложенный функционал:

1. Создаёт директории для сохранения данных;

2. Определяет список интересующих расширений (txt, pdf, docx, wallet, key, keys, doc, json, db);

3. Копирует куки Safari;

4. Копирует файлы Apple Notes, т.е заметки;

5. Сканирует пользовательские директории (Desktop, Downloads, Documents);

6. Копирует файлы с нужными расширениями и ограничениями по размеру до 30мб;
   

Подготовка данных к экспорту

1. Подготовка временной рабочей директории

   • Определяет текущего пользователя;

   • Формирует путь к домашней директории пользователя (profile);

   • Создаёт уникальную временную папку /tmp/<random>/, куда будут собираться данные;

2. Сбор системной информации

• Собирает информацию о системе macOS: аппаратное обеспечение, ПО;

• Сохраняет результат в файл info во временной папке;

3. Получение пароля пользователя

• Пытается получить существующий пароль из временного файла /tmp/.pass;

• Если пароль недействителен, вызывается функция getpwd, которая либо берёт пароль из связки ключей macOS, либо подсовывает фишинговое окно для запроса пароля у пользователя;

• Пароль сохраняется во временной папке для последующей работы;

4. Копирование конфигураций кошельков и приложений

• Сохраняет локальные конфигурации кошельков и ключей Binance и TonKeeper;

• Общий файл связки ключей macOS (login.keychain-db);

5. Сбор заметок и куки Safari

• Копирует базы данных Apple Notes;

• Копирует куки Safari из разных директорий;

• Копирование происходит с использованием функций readwrite и readwrite2;

6. Сбор данных браузеров и плагинов

• Использует функцию chromium для сбора данных с chrome-based браузеров;

• Использует функцию deskwallets для сбора данных с локальных кошельков;

• Использует функцию telegram для сбора tdata;

• GrabFolder копирует профили OpenVPN;

7. Упаковка данных в архив

• Собранные файлы из временной папки /tmp/<random> упаковываются в ZIP-архив /tmp/out.zip;

Эксфильтрация

Наконец дошли и до эксфильтрации данных, она реализуется функцией send_data
Абсолютно ничего сложного в этой функции нет, обыкновенная отправка архива /tmp/out.zip через curl

Данные для авторизации на API-эндпоинте /contact выглядят следующим образом
Здесь так же важно отметить, что значения login и build зашифрованы

Подводя итоги, можно сказать, что AMOS демонстрирует неплохо продуманную архитектуру стиллера, нацеленного на MacOS: полностью реализован на AppleScript, с минимальными внешними зависимостями, обладает расширенным функционалом по сбору данных из браузеров, криптокошельков, менеджеров паролей и мессенджеров.

1. Стиллер использует техники закрепления в системе и подмены приложений

2. Сбор данных реализован комплексно: браузеры на Chromium, Firefox, локальные криптокошельки, менеджеры паролей, расширения браузеров и мессенджеры (Telegram)

3. AMOS умеет обходить стандартные меры безопасности, проверяя окружение на виртуальные машины и эмулируемые среды

4. Собранные данные сохраняются во временную рабочую директорию и далее эксфильтруются на C2-сервер.

На подтверждение компрометации могут указывать следующие артефакты:

1. Необычные LaunchDaemon / LaunchAgent:

   • Файл /Library/LaunchDaemons/com.finder.helper.plist

   • Запуск неизвестного бинаря .helper или скрипта .agent

2. Скрытые временные файлы и директории:

   • Папки вида /tmp/<random>/ с большим количеством файлов из пользовательских директорий

   • ZIP-архив /tmp/out.zip

3. Поддельные приложения:

   • Ledger Live или другие криптокошельки, заменённые на вредоносные версии;

   • Файлы-маркеры типа .private в профиле пользователя

4. Необычные процессы и сетевое поведение

   • Запуск неизвестных бинарей с постоянной активностью (.helper, .agent)

   • Исходящие соединения на подозрительные C2-сервера (/zxc/app, /contact)

   • Исходящие подключения к адресам из подсети 45.94.47.0/24 (см. тут, тут, тут, тут)

5. Попытки извлечения паролей:

   • Запросы к macOS Keychain (через security find-generic-password)

   • Появление фишинговых окон для ввода паролей