Prema navodima kompanije, napadači se ne oslanjaju na ranjivosti u operativnom sistemu već na tehnike socijalnog inženjeringa kojima navode korisnike da sami pokrenu zlonamjerne fajlove.
Kampanja počinje kontaktiranjem potencijalnih žrtava preko društvenih mreža i profesionalnih platformi, najčešće pod izgovorom poslovnih ponuda ili razgovora za posao.
Nakon uspostavljanja komunikacije, žrtvi se šalje fajl predstavljen kao Zoom SDK ažuriranje. Kada ga korisnik pokrene, otvara se legitimni macOS Script Editor, dok se u pozadini preuzimaju dodatne maliciozne komponente.
Napadači zatim instaliraju aplikaciju koja prikazuje lažni sistemski dijalog za unos lozinke. Prozor izgleda gotovo identično originalnim macOS bezbjednosnim upozorenjima. Korisniku se prikazuje poruka da je za završetak ažuriranja potrebna lozinka, pa je mnogi unesu bez razmišljanja.
Ukoliko je lozinka ispravna, ona se odmah prosljeđuje napadačima, dok se korisniku prikazuje poruka da je ažuriranje uspješno završeno.
Pored krađe lozinki, malver prikuplja podatke iz kripto novčanika, sačuvane lozinke iz pregledača, podatke o Telegram sesijama, SSH ključeve, Apple Notes i istoriju pretraživanja interneta.
Pored krađe podataka, Sapphire Sleet instalira dodatne backdoor komponente kako bi održao dugoročni pristup. Komponenta pod nazivom com.apple.cli služi za održavanje komunikacije sa serverima napadača i omogućava dugotrajan pristup kompromitovanom uređaju.
Microsoft navodi da kampanja prvenstveno cilja pojedince i organizacije povezane sa kriptovalutama, blokčejn projektima i investicionim fondovima.
Kompanija je o svojim nalazima obavestila Apple, koji je u međuvremenu ažurirao zaštitne mehanizme XProtect i Safari Safe Browsing kako bi blokirao infrastrukturu povezanu sa ovom kampanjom.
Stručnjaci korisnicima preporučuju da budu posebno oprezni sa skriptama, ažuriranjima i komandama dobijenim putem poruka, čak i kada izgledaju legitimno. Takođe se savjetuje redovno mijenjanje lozinki sačuvanih u pregledačima, ažuriranje sistema i korišćenje hardverskih novčanika za čuvanje kripto imovine, piše Informacija.
Saznajte sve o najvažnijim vijestima i događajima, pridružite se našoj Viber zajednici ili čitajte na Google News.