GoPlus: złośliwy program wykorzystuje atak ClickFix, aby kraść portfele kryptowalutowe użytkownikom Mac.

Foresight News poinformował, że GoPlus wydał ostrzeżenie dotyczące bezpieczeństwa – złośliwe oprogramowanie Infiniti Stealer atakuje portfele kryptowalutowe użytkowników Mac. Program wykorzystuje inżynierię społeczną „ClickFix”, podszywając się pod stronę Cloudflare CAPTCHA, aby nakłonić użytkowników do wykonania złośliwego polecenia w terminalu.

Łańcuch ataku po wykonaniu komendy usuwa atrybuty izolacji systemu macOS i uruchamia złośliwy ładunek w tle. Ostateczny ładunek to program kradnący, napisany w Pythonie i skompilowany przez Nuitka do natywnego pliku binarnego, cechujący się wysoką zdolnością omijania wykrycia. Infiniti Stealer zdobywa dane uwierzytelniające przeglądarki, Keychain macOS, portfele kryptowalutowe oraz klucze deweloperskie (np. pliki .env), a także posiada funkcje wykrywania środowiska sandbox i opóźnienia wykonywania.

GoPlus zaleca użytkownikom stosowanie zasady „nie klikaj, nie instaluj, nie podpisuj, nie wykonuj przelewów”, sprawdzenie plików utrzymujących trwałość w ścieżkach /tmp oraz ~/Library/LaunchAgents/ oraz niezwłoczne zresetowanie swoich danych uwierzytelniających.