Apple non fa miracoli, il malware gira eccome anche su macOS

Per lavoro mi occupo principalmente di ambienti basati su Windows Server, nella mia sfera personale, però, coltivo da sempre la curiosità per i sistemi operativi in generale: ho più computer, tra cui un MacBook Pro con chip Apple M1, e mi piace sperimentare sia con macOS che con Linux e Windows. Non ho un sistema “preferito” in assoluto, perché ognuno ha i suoi punti di forza e i suoi contesti ideali. Per l’uso server Linux è spesso imbattibile, mentre per l’esperienza desktop trovo validi sia macOS che Windows, ognuno a modo suo. Cerco solo di restare aperto e continuare a imparare.

Proprio per questo mi ha colpito l’ultima campagna malevola scoperta da CloudSEK e riportata da The Hacker News: un nuovo attacco che sfrutta il famigerato Atomic macOS Stealer (AMOS). Chi pensa che macOS sia “invulnerabile” farebbe bene a leggere due volte. Il vettore d’attacco è geniale nella sua semplicità: un finto CAPTCHA, su siti che emulano portali reali (in questo caso un clone di Spectrum), induce l’utente a cliccare su un tasto per una “verifica alternativa”. Cliccando, viene copiato in automatico nella clipboard un comando bash, che viene poi proposto da incollare nel terminale.

Ora, chiunque abbia un minimo di esperienza sa che incollare comandi copiati da pagine web senza comprenderli è follia pura. Eppure il social engineering funziona: lo script chiede la password utente, controlla che sia corretta, la salva su disco in chiaro e poi scarica un payload da un dominio artefatto tipo applemacios[.]com. Dopo aver disattivato le protezioni Gatekeeper (con xattr -c), esegue il malware. Fine del gioco: AMOS entra in azione.

A questo punto il malware raccoglie tutto: keychain, password, cookie, file, wallet, screenshot, informazioni sul sistema. Comprime tutto e lo invia al server C2. Un attacco in piena regola, silenzioso ma devastante. Il fatto che venga richiesto esplicitamente di inserire la password è paradossalmente la sua forza: non ci sono privilege escalation da bypassare, è l’utente a concedere i permessi. E sappiamo bene quanto spesso, purtroppo, l’utente medio non legga nemmeno cosa sta eseguendo.

Questa campagna mostra ancora una volta quanto sia fondamentale l’educazione alla sicurezza informatica, prima ancora degli strumenti tecnici. Per quanto macOS sia solido, moderno e pensato per la semplicità d’uso, nessun sistema operativo può proteggere l’utente da sé stesso. La miglior difesa resta la consapevolezza. E la regola d’oro: mai fidarsi di comandi incollati nel terminale, mai eseguire script di dubbia provenienza, nemmeno se sembrano provenire da un sito “professionale”. Il malware oggi non si presenta più sotto forma di file .exe o di allegato sospetto: ti viene offerto come soluzione, come aiuto, come “verifica alternativa”. A quel punto la trappola è già scattata.