CẢNH BÁO MÃ ĐỘC macOS

Wiz vừa phát hiện một tác nhân đe dọa mới mang tên JINX-0164, chuyên nhắm mục tiêu vào các tổ chức tiền điện tử thông qua các chiến dịch kỹ thuật xã hội phức tạp và mã độc macOS tùy chỉnh nhằm đánh cắp tài sản kỹ thuật số.

Thủ đoạn lừa đảo tuyển dụng tinh vi

Nhóm JINX-0164 sử dụng các hồ sơ LinkedIn chuyên nghiệp để tiếp cận nạn nhân, mời tham gia các buổi phỏng vấn kỹ thuật. Sau đó, chúng dẫn dụ mục tiêu đến các trang web họp trực tuyến giả mạo, lừa họ tải xuống phần mềm cài đặt có chứa mã độc AUDIOFIX dưới danh nghĩa khắc phục lỗi kết nối.

Kỹ thuật xã hội: Giả danh nhà tuyển dụng uy tín, xây dựng kịch bản phỏng vấn chuyên nghiệp để cài cắm mã độc.

Xâm nhập CI/CD: Tấn công sâu vào hạ tầng phân phối mã nguồn và hệ thống phát triển của doanh nghiệp.

AUDIOFIX Stealer: Mã độc Python tùy chỉnh có khả năng đánh cắp Keychain, khóa SSH và dữ liệu trình duyệt.

Chuỗi cung ứng: Đầu độc các gói thư viện npm (như @velora-dex/sdk) để phát tán MiniRAT qua backdoor.

Khả năng đánh cắp dữ liệu của AUDIOFIX và MiniRAT

Các mã độc này được thiết kế để thu thập thông tin cực kỳ nhạy cảm từ máy trạm của nhà phát triển, bao gồm: thông tin từ trình quản lý mật khẩu, iCloud Keychain, khóa SSH, lịch sử bảng điều khiển (console history) và dữ liệu tiện ích mở rộng ví tiền điện tử. Đặc biệt, MiniRAT (viết bằng Go) cho phép kẻ tấn công thực thi các lệnh shell tùy ý và leo thang đặc quyền trên hệ thống macOS.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO DOANH NGHIỆP

Rà soát hệ thống macOS để tìm kiếm các tiến trình lạ giả danh 'ChromeUpdater' hoặc driver âm thanh.
Kiểm tra toàn bộ các phụ thuộc npm trong dự án để đảm bảo không sử dụng phiên bản bị nhiễm độc.
Triển khai giải pháp giám sát EDR chuyên sâu cho hệ máy macOS của đội ngũ lập trình viên.
Đào tạo nhân sự cảnh giác với các yêu cầu tải phần mềm lạ trong quá trình trao đổi công việc bên ngoài.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Nhóm JINX-0164 tấn công doanh nghiệp tiền điện tử bằng mã độc macOS