Alcuni cybercriminali sfruttano da qualche tempo un trucco semplice ma efficace con sprovveduti che, ad esempio, cercano applicazioni pirata per Mac o PC sul web: alcuni siti web mostrano specifiche indicazioni o presunte istruzioni in file readme invitando a copiare e incollare un comando nel Terminale prima di poter scaricare il software desiderato, ottenendo in questo modo non solo il download di payload dannosi (componenti per attaccare la vittima) ma anche username e password del malcapitato (le credenziali che servono per installare il software come amministratore).
Gli sviluppatori di jamf riferiscono di un infostealer (software malevolo progettato per estrapolare le informazioni personali della vittima, tra cui credenziali e dati bancari) che si sta diffondendo anche su GitHub e altri repository, tenendo conto del fatto che molti utenti seguono le istruzioni nei file README ed eseguono comandi senza chiedersi a cosa servono.
Nei README si trovano istruzioni passo dopo passo da seguire indicando agli utenti la necessità di eseguire un comando dalla Shell, sfruttando tipicamente il comando curl per individuare ed avviare uno script da remoto. Presentando il comando come una normale procedura per portare a termine l’installazione, l’attacker riesce a bypassare i meccanismi di salvaguardia di sistema e a eseguire il codice malevolo direttamente sul computer del destinatario.
Ricercatori di Jamf hanno individuato questa tecnica in alcuni repository evidenziando la diffusione di uno strumento denominato GhostClaw pensato per automatizzare l’attacco tramite agenti AI. Sul web sono attive diverse campagne dannose con cybercriminali che cercando di invogliare gli utenti a scaricare malware travestito da popolari strumenti di intelligenza artificiale tramite gli annunci di Google Search.
Offrendo a sconosciuti la propria password di amministratore, cadono molte barriere di sicurezza ed è ovviamente possibile ottenere dati di tutti i tipi. A peggiorare la situazione è l’uso di agenti AI che velocizzano le varie attività malevole rendendo successivamente complesso capire cos’è accaduto dopo aver fornito la nostra password (gli obiettivi sono tipicamente sempre gli stessi: ottenere password di accesso a vari servizi, agli account di posta, a portafogli di criptovalute, ecc.)
Prima di concedere l’accesso completo al disco o altri permessi di sistema ad applicazioni scaricate da internet è bene chiedersi perché stiano chiedendo di farlo. La sottrazione delle credenziali di accesso può portare a conseguenze gravi ed è bene fornire password solo se strettamente necessario o fondamentale per il funzionamento di software affidabili o di provenienza nota.
L’antivirus principale siamo noi
Esistono software malevoli anche per Mac ma la loro attivazione richiede una serie di specifiche azioni da parte dell’utente: tipicamente lo scaricamento di un’app da un sito o da un allegato a una mail, la sua esecuzione, l’indicazione del nome e la password dell’utente amministratore. Se indichiamo a chicchessia questi dati, risulterà inutile qualsiasi meccanismo di prevenzione integrato nel sistema. Domandatevi sempre perché un’applicazione sta chiedendo le vostre credenziali, se è veramente necessario indicare questi dati, quanto è sicura la fonte dalla quale l’avete scaricata e nel dubbio diffidate sempre. A questo indirizzo tutto quello che c’è da sapere su virus e Mac.
Per tutte le notizie sulla sicurezza informatica rimandiamo alla sezione dedicata di macitynet.
