Chiến dịch ClickFix phát tán mã độc đánh cắp dữ liệu trên macOS
"ClickFix-style attacks are being used to deliver a Go-based macOS stealer that harvests browser passwords, Apple Keychain data, and cached credentials, while also attempting privilege escalation through fake system prompts. The malware includes a DRAIN routine that can siphon funds from cryptocurrency wallets such as Bitcoin, Litecoin, Dogecoin, Monero, Ethereum, and XRP; no CVE is mentioned, and the reported infrastructure is linked to Aeza Group hosting."
Rủi ro cao do đánh cắp thông tin xác thực, xâm nhập ví tiền mã hóa và leo thang đặc quyền thông qua lừa đảo người dùng.
Có thể gây mất dữ liệu nhạy cảm, thiệt hại tài chính trực tiếp và tăng chi phí xử lý sự cố trên máy macOS.
Các chiến dịch ClickFix đang được dùng để phát tán một mã độc Go nhắm vào macOS, với khả năng thu thập mật khẩu trình duyệt, dữ liệu Apple Keychain và thông tin xác thực đã lưu trong bộ nhớ đệm. Chuỗi lây nhiễm bắt đầu khi nạn nhân dán một lệnh giả mạo vào Terminal, từ đó kích hoạt một shell script thu thập thông tin hệ thống và tải về payload phù hợp với kiến trúc CPU của máy.
Điểm đáng chú ý là mã độc này có thêm routine DRAIN, có thể kiểm tra số dư và chuyển một phần hoặc toàn bộ tiền từ ví tiền mã hóa sang ví do kẻ tấn công kiểm soát. Các loại tiền được nhắc tới gồm Bitcoin, Litecoin, Dogecoin, Monero, Ethereum và XRP. Ngoài ra, mã độc còn cố gắng leo thang đặc quyền bằng cách hiển thị lời nhắc giả mạo để dụ người dùng nhập thông tin hệ thống.
Hạ tầng phân phối payload và C2 được cho là liên quan đến Aeza Group. Với kiểu tấn công này, đội ngũ kỹ thuật nên tăng cường đào tạo nhận diện lừa đảo, hạn chế người dùng chạy lệnh không rõ nguồn gốc, giám sát hành vi bất thường trên macOS, và kiểm tra các dấu hiệu truy cập trái phép vào ví tiền mã hóa và Keychain.