Atomic Stealer Pencuri Info macOS

Peneliti keamanan siber telah menemukan versi baru dari Atomic macOS infostealer (dikenal juga sebagai ‘AMOS’), kini dilengkapi dengan backdoor.

Penambahan ini menjadi alarm bagi pengguna Mac karena memberikan peretas akses persisten ke sistem yang telah dikompromikan.

Komponen backdoor memungkinkan eksekusi perintah jarak jauh, mampu bertahan dari reboot sistem, dan memungkinkan kontrol tak terbatas atas host yang terinfeksi.

Dalam analisis, operasi malware AMOS telah menyebar ke lebih dari 120 negara, dengan AS, Prancis, Italia, Inggris, dan Kanada sebagai yang paling terdampak. Versi baru ini berpotensi memberikan akses penuh ke ribuan perangkat Mac di seluruh dunia.

Evolusi dan Modus Operandi Atomic Stealer

Atomic stealer, yang pertama kali didokumentasikan pada April 2023, beroperasi sebagai layanan malware-as-a-service (MaaS) yang ditawarkan seharga $1.000 per bulan di saluran Telegram.

Awalnya, target utamanya adalah file macOS, ekstensi cryptocurrency, dan kata sandi yang disimpan di peramban web.

Perkembangannya menunjukkan peningkatan kecanggihan:

• Pada November 2023, Atomic mendukung perluasan kampanye ‘ClearFake’ ke macOS.
• Pada September 2024, cybercrime group ‘Marko Polo’ menyebarkannya dalam kampanye besar-besaran di komputer Apple.
• Moonlock melaporkan pergeseran distribusi dari situs perangkat lunak bajakan ke phising bertarget yang mengincar pemilik cryptocurrency dan penipuan undangan wawancara kerja untuk freelancer.

Versi malware yang dianalisis memiliki backdoor tertanam, memanfaatkan LaunchDaemons untuk mempertahankan persistensi setelah reboot, melacak korban berdasarkan ID, dan menggunakan infrastruktur command-and-control (C2) baru.

Cara Backdoor Mengkompromikan Mac

Eksekutor utama backdoor adalah binary bernama ‘.helper,’ yang diunduh dan disimpan sebagai file tersembunyi di direktori utama korban setelah infeksi awal.

Sebuah script wrapper persisten bernama ‘.agent’ (juga tersembunyi) kemudian menjalankan ‘.helper’ secara berulang sebagai pengguna yang logged-in. Sebuah LaunchDaemon (com.finder.helper) yang diinstal melalui AppleScript memastikan ‘.agent’ dieksekusi saat startup sistem.

Aksi ini dilakukan dengan hak istimewa yang ditinggikan, seringkali menggunakan kata sandi pengguna yang dicuri selama fase infeksi awal dengan dalih palsu.

Malware kemudian dapat menjalankan perintah dan mengubah kepemilikan LaunchDaemon PLIST menjadi ‘root:wheel’ (level superuser di macOS), memberikan kontrol penuh kepada penyerang.

Backdoor ini memungkinkan pelaku ancaman untuk menjalankan perintah jarak jauh, mencatat penekanan tombol (key strokes), memasukkan payload tambahan, atau menjelajahi potensi pergerakan lateral dalam jaringan.

Untuk menghindari deteksi, backdoor ini memeriksa lingkungan sandbox atau mesin virtual menggunakan ‘system_profiler’ dan juga dilengkapi dengan string obfuscation.

Evolusi malware Atomic menunjukkan bahwa pengguna macOS menjadi target yang lebih menarik, dan kampanye berbahaya yang ditujukan kepada mereka semakin canggih.

Kehadiran komentar berbahasa Rusia dalam kode sumber serta metadata dari server C2 menunjukkan keterlibatan kelompok pelaku berbahasa Rusia.

Melindungi Mac dari Atomic Infostealer

Mengingat kecanggihan Atomic infostealer dan penggunaan backdoor untuk persistensi, pengguna macOS harus mengambil langkah-langkah proaktif untuk melindungi diri:

Selalu Perbarui Perangkat Lunak

• Pastikan sistem operasi macOS Anda selalu diperbarui ke versi terbaru. Pembaruan ini sering kali berisi patch keamanan untuk kerentanan yang telah ditemukan.
• Perbarui semua aplikasi yang terinstal di Mac Anda secara rutin. Peretas sering menargetkan kerentanan pada perangkat lunak lama.

Gunakan Solusi Keamanan yang Kuat

• Instal perangkat lunak antivirus/antimalware terkemuka yang dirancang khusus untuk macOS. Solusi seperti ESET Cyber Security atau yang serupa dapat membantu mendeteksi dan memblokir ancaman seperti Atomic infostealer. Pastikan perangkat lunak ini selalu aktif dan diperbarui.
• Pertimbangkan penggunaan firewall yang memantau lalu lintas jaringan masuk dan keluar untuk memblokir komunikasi yang tidak sah.

Waspada Terhadap Serangan phising dan Social Engineering

• Berhati-hatilah terhadap email, pesan teks, atau pesan media sosial yang tidak dikenal atau mencurigakan, terutama yang menawarkan peluang kerja yang terlalu bagus untuk menjadi kenyataan atau meminta informasi pribadi/keuangan.
• Jangan mengklik tautan atau mengunduh lampiran dari sumber yang tidak diverifikasi. Ini adalah metode umum penyebaran infostealer.
• Verifikasi keaslian pengirim dengan menghubungi organisasi yang diklaim melalui saluran resmi mereka, bukan melalui informasi kontak yang tertera di pesan mencurigakan.

Prioritaskan Keamanan Kata Sandi dan Kredensial

• Gunakan kata sandi yang kuat dan unik untuk semua akun Anda. Hindari menggunakan kata sandi yang sama di berbagai layanan.
• Manfaatkan pengelola kata sandi (password manager) yang aman untuk menyimpan kredensial Anda dan membuat kata sandi yang kompleks.
• Aktifkan autentikasi dua faktor (2FA) atau autentikasi multi-faktor (MFA) di mana pun tersedia, terutama untuk akun penting seperti email, perbankan, dan cryptocurrency. Ini menambah lapisan keamanan ekstra bahkan jika kata sandi Anda terkompromi.

Batasi Hak Akses dan Tingkatkan Kesadaran

• Jalankan akun pengguna dengan hak akses standar untuk aktivitas sehari-hari, dan gunakan akun administrator hanya saat benar-benar diperlukan. Ini dapat membatasi dampak malware yang berhasil masuk.
• Tingkatkan kesadaran akan ancaman siber di kalangan pengguna Mac, khususnya mengenai modus operandi infostealer dan backdoor. Pahami bahwa Mac tidak kebal terhadap malware.

Cadangkan Data Penting Secara Teratur

• Lakukan pencadangan data penting secara teratur ke lokasi terpisah (misalnya hard drive eksternal atau layanan cloud yang aman). Ini akan membantu memulihkan data jika terjadi infeksi malware atau kerusakan sistem.

Dengan menerapkan langkah-langkah keamanan ini secara proaktif, pengguna Mac dapat secara signifikan mengurangi risiko menjadi korban Atomic macOS infostealer dan ancaman siber yang semakin canggih lainnya.

Sumber berita:

Prosperita IT News