AMOS Stealer è tornato: scoperta una nuova variante per macOS

Bitdefender ha scoperto una nuova variante del malware AMOS Stealer (o Atomic Stealer), una delle minacce informatiche più comuni per gli utenti macOS nell’ultimo anno. Secondo gli esperti di Bitdefender, la nuova variante è stata identificata durante il processo di studio di vecchi e nuovi campioni di malware macOS per migliorare la capacità di rilevare tali minacce.

I sospetti sono stati sollevati da diverse immagini disco di piccole dimensioni (1,3 MB) per macOS. Un’analisi dettagliata ha mostrato la somiglianza della nuova versione con RustDoor. Entrambe le opzioni sono progettate per raccogliere file sensibili dai computer infetti, mentre quella attuale è una versione più avanzata dello script RustDoor.

La nuova versione ha funzionalità aggiuntive. Raccoglie Cookies.binarycookies dai cookie del browser Safari, file da estensioni specifiche da posizioni specifiche e utilizza l’utilità system_profiler per ottenere dati di sistema.

In questo modo gli aggressori ottengono informazioni sulle caratteristiche tecniche del computer, sulle versioni del sistema operativo, sui monitor collegati e sulle schede video. Password, chiavi di crittografia e certificati vengono aggiunti all’archivio, il che indica un crescente interesse per le piattaforme crittografiche.

Questa versione combina Python e Apple Scripting in modo non standard: file grabber() esegue un grande blocco di Apple Script utilizzando il comando osascript -e. I file DMG contengono moduli eseguibili per Intel e ARM, che vengono utilizzati per rubare dati.

Una volta aperta, l’applicazione Crack Installer richiede all’utente di decomprimere il file. Lo script Python raccoglie dati sensibili da varie fonti, inclusi portafogli crittografici, browser e account. I dati raccolti vengono salvati in un archivio ZIP e inviati al server C2 tramite una richiesta POST. La struttura dell’archivio è confermata dal server.

Al momento la nuova variante è praticamente non rilevabile dagli antivirus. Bitdefender ha pubblicato indicatori di compromissione per identificare e neutralizzare questa minaccia informatica.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.