In Breve

• Gli aggressori creano falsi repository GitHub camuffati da software Mac di aziende reali.
• Questi repository utilizzano tecniche per manipolare i motori di ricerca e apparire in cima ai risultati.
• Le vittime vengono indotte a eseguire un semplice comando da terminale che installa segretamente il malware infostealer Atomic.
• Sia aziende tecnologiche che finanziarie, tra cui LastPass, sono state imitate in queste campagne.
• Gli esperti di sicurezza raccomandano di scaricare software solo da fonti verificate e di utilizzare una protezione antivirus aggiornata.

Lo Scenario: Lupi Digitali Travestiti da Sviluppatori

Immagina di cercare un’app Mac affidabile, solo per imbatterti in una trappola accuratamente camuffata. Questa è la realtà per gli utenti ignari presi di mira da una nuova ondata di attacchi informatici: i criminali creano finte pagine GitHub quasi identiche a quelle dei fornitori di software legittimi. Queste pagine non si limitano a imitare l’aspetto-sfruttano i motori di ricerca, scalando le prime posizioni su Google, dove la fiducia è data per scontata e la prudenza troppo spesso viene abbandonata.

Come Funziona l’Inganno

In questa campagna, gli aggressori creano falsi repository GitHub, spesso con nomi e terminologia che richiamano app Mac popolari. Quando gli utenti arrivano su queste pagine, viene chiesto loro di eseguire una sola riga di codice nel terminale Mac-un passaggio apparentemente semplice che in realtà apre la porta ad Atomic infostealer, un sofisticato malware progettato per sottrarre dati sensibili, credenziali e persino portafogli di criptovalute.

I truffatori dietro questi schemi non si affidano solo alla fortuna. Utilizzando il cosiddetto “SEO poisoning”, manipolano il posizionamento delle loro pagine fraudolente sui motori di ricerca, assicurandosi di apparire in alto nei risultati per parole chiave come “LastPass Mac download” o “Homebrew per Mac”. Una volta che la vittima segue le istruzioni, il malware agisce silenziosamente, raccogliendo informazioni che possono essere vendute o sfruttate nel dark web.

Vecchi Trucchi, Nuove Piattaforme

Non è la prima volta che i cybercriminali usano piattaforme per sviluppatori come esca. Attacchi simili hanno preso di mira il gestore di pacchetti Homebrew e i repository npm (Node Package Manager), sfruttando la natura aperta dei siti di condivisione del codice. Nell’ultimo anno, incidenti come il worm Shai-Hulud e le campagne del gruppo Cookie Spider hanno mostrato come gli aggressori sfruttino la fiducia nelle comunità open-source, evolvendosi dalla malvertising alla frode diretta sui repository di codice.

L’infostealer Atomic, noto anche come AMOS, è in circolazione almeno da aprile 2023. Società di sicurezza come CrowdStrike e LastPass ne hanno tracciato l’uso in attacchi su larga scala, spesso come parte di un modello “malware-as-a-service” in cui il software dannoso viene affittato a criminali meno esperti. L’obiettivo è sempre lo stesso: raccogliere quanti più dati di valore possibile, sia da singoli individui che da intere organizzazioni.

Perché Prendere di Mira gli Utenti Mac?

Gli utenti Mac hanno a lungo creduto che i loro sistemi fossero meno vulnerabili al malware-una convinzione che ora gli aggressori sfruttano. Come sottolinea Mike Kosak di LastPass, questa “impressione pericolosa” rende gli utenti Mac bersagli allettanti, soprattutto ora che sempre più dati sensibili, sia lavorativi che personali, vengono spostati su dispositivi Apple nei settori tecnologico e finanziario.

Gli esperti invitano alla vigilanza: verificare sempre la fonte di ogni download di software, soprattutto su piattaforme come GitHub. Utilizzare store di app affidabili quando possibile, mantenere aggiornati gli strumenti di sicurezza e considerare gestori di password che non memorizzino dati sensibili nei browser.

WIKICROOK

• SEO Poisoning: Il SEO Poisoning si verifica quando gli aggressori manipolano i risultati di ricerca per promuovere siti web dannosi, inducendo gli utenti a visitare pagine pericolose o fraudolente.
• Infostealer: Un infostealer è un malware progettato per rubare dati sensibili-come password, carte di credito o documenti-da computer infetti senza che l’utente se ne accorga.
• Repository GitHub: Un repository GitHub è una cartella online dove gli sviluppatori archiviano, gestiscono e condividono codice, ma può anche essere usata impropriamente per distribuire software falso.
• Comando da Terminale: Un comando da terminale è un’istruzione testuale inserita in un’interfaccia a riga di comando, come il Terminale Mac, per eseguire operazioni come installare software o gestire file.
• Malware: Il malware è un software dannoso progettato per infiltrarsi, danneggiare o rubare dati da dispositivi informatici senza il consenso dell’utente.