ນັກວິໄຈຂອງ Trellix ແລະ Cyble labs ພົບມັນແວ (Malware) ລັກຂໍ້ມູນເທິງ macOS ໂຕໃໝ່ຊື່ ‘Atomic’ (ຫຼື ເອີ້ນວ່າ ‘AMOS’) ກຳລັງຂາຍໃຫ້ກັບ Hacker ຜ່ານຊ່ອງທາງ Telegram ສ່ວນຕົວ ໂດຍມີຄ່າບໍລິການ $1,000 ຕໍ່ເດືອນ.
ນັກວິໄຈຂອງ Trellix ແລະ Cyble labs ພົບມັນແວ (Malware) ລັກຂໍ້ມູນເທິງ macOS ໂຕໃໝ່ຊື່ ‘Atomic’ (ຫຼື ເອີ້ນວ່າ ‘AMOS’) ກຳລັງຂາຍໃຫ້ກັບ Hacker ຜ່ານຊ່ອງທາງ Telegram ສ່ວນຕົວ ໂດຍມີຄ່າບໍລິການ $1,000 ຕໍ່ເດືອນ.ຜູ້ຊື້ຈະໄດ້ຮັບຟາຍ DMG ທີ່ມີມັນແວພາສາ Go-based ແບບ 64 ບິດ ຊຶ່ງອອກແບບມາເພື່ອກໍານົດເປົ້າໝາຍລະບົບ macOS ໂດຍສະເພາະ ເພື່ອລັກ keychain password ຈາກຟາຍ local filesystem ໃນເຄື່ອງ ລວມເຖິງ ລະຫັດຜ່ານ, ຄຸກກີ້ ແລະ ບັດເຄຣດິດ ທີ່ຖືກຈັດເກັບໄວ້ໃນບຣາວເຊີ (Browser) ນອກຈາກນີ້ຍັງສາມາດລັກຂໍ້ມູນຈາກ cryptocurrency extension ເຖິງ 50 ລາຍການ ພ້ອມທັງໄດ້ຮັບໜ້າເວັບ panel ສຳລັບການຈັດການເຄື່ອງຂອງເຫຍື່ອ (ready-to-use web panel), MetaMask brute-forcer, ໂຕກວດສອບສະກຸນເງິນດິຈິຕ໋ອນ, ໂຕຕິດຕັ້ງ dmg installer ລວມເຖິງຄວາມສາມາດໃນການຮັບບັນທຶກທີ່ຖືກລັກຜ່ານທາງ Telegram.
Atomic ເປີດໂຕເວີຊັ່ນໃໝ່ໃນ ວັນທີ 25 ເມສາ 2023 ສະແດງໃຫ້ເຫັນເຖິງການພັດທະນາມັນແວດັ່ງກ່າວຢ່າງຕໍ່ເນື່ອງ ຊຶ່ງນັກວິໄຈພົບວ່າ dmg file ທີ່ເປັນອັນຕະລາຍ ໄດ້ຖືກລາຍງານໃນ VirusTotal ແລ້ວພົບວ່າ ຈາກ 26 ໃນ 59 ຂອງ AV engines ທີ່ລະບຸວ່າເປັນຟາຍອັນຕະລາຍ.
ຄວາມສາມາດຂອງ AtomicAtomic Stealer ປະກອບດ້ວຍຄວາມສາມາດໃນການລັກຂໍ້ມູນທີ່ຄົບຊຸດ ເຮັດໃຫ້ແຮັກເກີ (Hacker) ມີໂອກາດຫຼາຍຂຶ້ນໃນການໂຈມຕີລະບົບເປົ້າໝາຍ. ເມື່ອຣັນ (Run) ຟາຍ dmg ມັນແວຈະສະແດງໜ້າຕ່າງ prompt ສຳລັບປ້ອນລະຫັດຜ່ານປອມ ເພື່ອໃຫ້ເຫຍື່ອປ້ອນລະຫັດຜ່ານເທິງລະບົບ ຊຶ່ງຈະເຮັດໃຫ້ແຮັກເກີ ໄດ້ຮັບສິດຂັ້ນສູງໃນເຄື່ອງຂອງເປົ້າໝາຍ.
ຫຼັງຈາກນັ້ນມັນແວຈະພະຍາຍາມແຍກລະຫັດຜ່ານ Keychain ຊຶ່ງເປັນໂຕຈັດການລະຫັດຜ່ານໃນຕົວຂອງ macOS ທີ່ເກັບລະຫັດຜ່ານ WiFi, ການເຂົ້າສູ່ລະບົບເວັບໄຊ, ຂໍ້ມູນບັດເຄຣດິດ ແລະ ຂໍ້ມູນເຂົ້າລະຫັດອື່ນໆ.
ຫຼັງຈາກດຳເນີນການຂ້າງຕົ້ນແລ້ວ Atomic ຈະດຳເນີນການລັກຂໍ້ມູນຈາກຊ໋ອບແວທີ່ເຮັດວຽກເທິງເຄື່ອງ macOS ທີ່ຖືກໂຈມຕີ ລວມເຖິງຂໍ້ມູນດັ່ງຕໍ່ໄປນີ້:
- ຂໍ້ມູນ cryptocurrency wallet : Electrum, Binance, Exodus, Atomic
- ຂໍ້ມູນ Cryptocurrency wallet extension : extension ທັງໝົດ 50 ລາຍການ ຊຶ່ງລວມທັງ Trust Wallet, Exodus Web3 Wallet, Jaxx Liberty, Coinbase, Guarda, TronLink, Trezor Password Manager, Metamask, Yoroi ແລະ BinanceChain.
- ຂໍ້ມູນ Web browser : auto-fill ລະຫັດຜ່ານ ຄຸກກີ້ ແລະ ບັດຣເຄຣດິດ ຈາກ Google Chrome, Mozilla Firefox, Microsoft Edge, Yandex, Opera ແລະ Vivaldi.
- ຂໍ້ມູນ System information : ຊື່ຮຸ່ນ, UUID ຂອງຮາດແວ, ຂະໜາດ RAM, ຈໍານວນຄໍ (Core count) , ໝາຍເລກຊີຣຽວ (Serial number) ແລະ ອື່ນໆ.
ນອກຈາກນີ້ຍັງພົບວ່າ Atomic ສາມາດລັກຟາຍໄດ້ໂດຍກົງຈາກ directory ‘Desktop’ ແລະ ‘Documents’ ຂອງເຫຍື່ອ ແຕ່ຍັງຈຳເປັນຕ້ອງຂໍ.
ເມື່ອລັກຂໍ້ມູນສຳເລັດແລ້ວ ມັນແວຈະບັນທຶກຂໍ້ມູນທັງໝົດລົງໃນຟາຍ ZIP ແລ້ວສົ່ງອອກໄປຫາ command and control (C2) Server ຂອງແຮັກເກີ ຊຶ່ງຢູ່ທີ່ “amos-malware[.]ru/sendlog” ນອກຈາກນີ້ຍັງພົບວ່າ IP address ທີ່ເຊື່ອມໂຍງກັບ C2 Server ໄດ້ຖືກໃຊ້ໂດຍກຸ່ມ Raccoon Stealer ຊຶ່ງອາດຈະມີຄວາມເຊື່ອມໂຍງກັນ.
ເຖິງວ່າ macOS ຈະບໍ່ແມ່ນເປົ້າໝາຍຫຼັກໃນການໂຈມຕີຂອງກຸ່ມແຮັກເກີ ແຕ່ກໍ່ພົບວ່າປັດຈຸບັນ macOS ໄດ້ເລີ່ມຕົກເປັນເປົ້າໝາຍການໂຈມຕີຂອງກຸ່ມແຮັກເກີຕ່າງໆເພີ່ມຂຶ້ນຢ່າງຕໍ່ເນື່ອງ ເຊັ່ນ: ການໂຈມຕີ 3CX supply chain attack ຈາກກຸ່ມ APT ຂອງເກົາຫຼີເໜືອ ທີ່ມີເປົ້າໝາຍໄປທີ່ macOS ອີກດ້ວຍ.
ເອກະສານອ້າງອີງ:
- https://www.bleepingcomputer.com/news/security/new-atomic-macos-info-stealing-malware-targets-50-crypto-wallets/
- https://www.i-secure.co.th/2023/05/%e0%b8%9e%e0%b8%9a%e0%b8%a1%e0%b8%b1%e0%b8%a5%e0%b9%81%e0%b8%a7%e0%b8%a3%e0%b9%8c%e0%b8%82%e0%b9%82%e0%b8%a1%e0%b8%a2%e0%b8%82%e0%b9%89%e0%b8%ad%e0%b8%a1%e0%b8%b9%e0%b8%a5%e0%b9%83%e0%b8%99-macos/