SHub Reaper: Malware macOS mới giả mạo Apple, Google và Microsoft để đánh cắp dữ liệu

macOS từ lâu thường được xem là ít bị malware hơn các nền tảng khác, nhưng vài năm gần đây các chiến dịch infostealer (malware chuyên đánh cắp dữ liệu) đang nhắm tới người dùng Mac ngày càng nhiều. Một ví dụ mới là SHub Reaper — biến thể tinh vi của họ malware SHub trên macOS, được thiết kế để thu thập dữ liệu nhạy cảm trong khi giả mạo các phần mềm đáng tin cậy.

Theo các nhà nghiên cứu bảo mật, chiến dịch này tận dụng các trang tải và cập nhật giả mạo Apple, Google và thậm chí cả hạ tầng giống Microsoft để đánh lừa người dùng cài đặt script độc hại, từ đó âm thầm thu thập thông tin trên máy.

SHub Reaper là gì

SHub Reaper là một macOS infostealer, nghĩa là mục tiêu chính của nó là thu thập và gửi dữ liệu nhạy cảm từ máy bị nhiễm về máy chủ của kẻ tấn công.

Nó thuộc họ SHub Stealer, vốn đã xuất hiện trong nhiều chiến dịch nhằm đánh cắp thông tin đăng nhập và dữ liệu ví tiền mã hóa của người dùng Mac.

Sau khi chạy trên hệ thống, malware tập trung thu thập nhiều loại dữ liệu có giá trị, ví dụ:

• Mật khẩu và thông tin đăng nhập lưu trong trình duyệt
• Dữ liệu Apple Keychain (kho lưu mật khẩu của macOS)
• Thông tin liên quan tới iCloud
• Tệp và tài liệu trên máy
• Ví tiền mã hóa và ứng dụng ví crypto

Một số phân tích cho thấy malware trong họ SHub còn có khả năng truy cập dữ liệu từ nhiều trình duyệt, phiên đăng nhập ứng dụng nhắn tin và tìm cách trích xuất khóa hoặc cụm từ khôi phục (seed phrase) từ ví crypto.

Chuỗi tấn công nhiều giai đoạn

Điểm đáng chú ý là chiến dịch SHub Reaper không cần khai thác lỗ hổng phần mềm. Thay vào đó, nó dựa gần như hoàn toàn vào social engineering (kỹ thuật lừa người dùng).

Một chuỗi lây nhiễm điển hình thường gồm nhiều bước.

1. Trang tải hoặc cập nhật phần mềm giả

Người dùng ban đầu gặp các trang tải xuống giả hoặc thông báo cập nhật giả, trông giống phần mềm hợp pháp.

Các mồi nhử được ghi nhận bao gồm:

• Bộ cài giả của ứng dụng như WeChat hoặc Miro
• Trang web giả mạo công cụ tối ưu Mac như CleanMyMac
• Trang giả cập nhật bảo mật của Apple

Để tăng độ tin cậy, một số payload còn được đặt trên domain gần giống hạ tầng Microsoft (typosquatting) hoặc được ngụy trang như thành phần bảo mật của Apple.

2. Thủ thuật ClickFix yêu cầu dán lệnh vào Terminal

Nhiều chiến dịch SHub sử dụng kỹ thuật gọi là ClickFix.

Trang web sẽ yêu cầu người dùng mở Terminal rồi copy–paste một lệnh để “sửa lỗi” hoặc “hoàn tất cài đặt”.

Trên thực tế, lệnh đó sẽ tải và thực thi mã độc.

Do người dùng tự chạy lệnh, hành động này có thể bỏ qua một số cảnh báo bảo mật vốn xuất hiện khi mở ứng dụng đáng ngờ.

3. Script nhiều tầng để tải malware

Sau khi lệnh được dán vào Terminal, một chuỗi script nhiều giai đoạn sẽ chạy, ví dụ:

• Lệnh curl được làm rối (obfuscate) để tải một loader nén
• Loader chạy trong shell như zsh
• Giai đoạn tiếp theo thực thi payload AppleScript thực hiện hành vi đánh cắp dữ liệu

Cấu trúc nhiều lớp này giúp che giấu hành vi tấn công và khiến việc phát hiện toàn bộ chuỗi hoạt động trở nên khó khăn hơn.

Dữ liệu SHub Reaper nhắm tới

Mục tiêu của malware là các dữ liệu có thể bán, khai thác hoặc dùng cho tấn công tiếp theo.

Những dữ liệu được ghi nhận bao gồm:

• Mật khẩu lưu trong trình duyệt
• Thông tin đăng nhập và token
• Dữ liệu Apple Keychain
• Thông tin iCloud
• Tệp và tài liệu trên máy
• Phiên đăng nhập ứng dụng nhắn tin như Telegram
• Ví tiền mã hóa và ứng dụng ví crypto

Một số chiến dịch còn thay thế ứng dụng ví tiền mã hóa hợp pháp bằng phiên bản trojan, cho phép kẻ tấn công đánh cắp seed phrase hoặc tiền sau này.

Cách malware duy trì hoạt động trên Mac

Để tồn tại sau khi người dùng khởi động lại máy, SHub Reaper có thể cài đặt một LaunchAgent — cơ chế trong macOS cho phép chạy chương trình tự động khi đăng nhập.

Báo cáo cho biết LaunchAgent này thường được ngụy trang thành dịch vụ hợp pháp như “GoogleUpdate.”

Ngoài ra malware còn dùng nhiều kỹ thuật tránh bị phát hiện, như:

• Sử dụng AppleScript và tiến trình macOS hợp pháp để hòa lẫn với hoạt động bình thường
• Chia payload thành nhiều giai đoạn
• Dựa vào lệnh Terminal do người dùng tự chạy

Những chiến thuật này khiến các công cụ phát hiện dựa trên chữ ký khó nhận ra ngay lập tức.

Vì sao có thể vượt qua một số cơ chế bảo vệ của macOS

macOS có nhiều lớp bảo vệ tích hợp như Gatekeeper và XProtect, vốn kiểm tra ứng dụng tải xuống để phát hiện malware.

Tuy nhiên SHub Reaper có thể tránh kích hoạt các cơ chế này vì:

• Lệnh độc hại được chạy trực tiếp trong Terminal
• Malware được tải xuống theo nhiều giai đoạn
• Một số thành phần được ngụy trang như công cụ hệ thống

Khi mã độc được thực thi thông qua lệnh do người dùng tự chấp thuận, một số bước kiểm tra bảo mật có thể bị bỏ qua.

Người dùng Mac nên làm gì để tự bảo vệ

Dù kỹ thuật của chiến dịch khá tinh vi, điểm yếu chính của nó vẫn là đánh lừa người dùng.

Một số thói quen có thể giảm đáng kể rủi ro:

• Không bao giờ dán lệnh vào Terminal từ website. Nếu một trang yêu cầu làm vậy để sửa lỗi hoặc cài phần mềm, hãy coi đó là dấu hiệu đáng ngờ.
• Chỉ cập nhật phần mềm qua kênh chính thức như macOS Software Update, Mac App Store hoặc website chính thức của nhà phát triển.
• Luôn cập nhật macOS và trình duyệt để nhận các bản cập nhật bảo mật mới nhất của Apple.
• Theo dõi các tài khoản quan trọng, đặc biệt là iCloud và ví tiền mã hóa, nếu nghi ngờ máy đã bị nhiễm.
• Sử dụng phần mềm bảo mật đáng tin cậy để phát hiện script đáng ngờ hoặc cơ chế persistence.

Xu hướng lớn hơn: malware nhắm vào macOS đang tăng

SHub Reaper phản ánh một xu hướng lớn hơn trong tội phạm mạng: khi máy Mac trở nên phổ biến hơn trong doanh nghiệp và cộng đồng nhà phát triển, kẻ tấn công đang đầu tư nhiều hơn vào malware chuyên cho macOS, đặc biệt là các infostealer.

Điểm đáng chú ý là các chiến dịch hiện đại thường không cần “hack” hệ thống. Thay vào đó, chúng tìm cách thuyết phục người dùng tự chạy mã độc.

Vì vậy, biện pháp phòng vệ hiệu quả nhất vẫn là cảnh giác với các trang tải phần mềm, cập nhật giả và mọi hướng dẫn yêu cầu chạy lệnh trong Terminal.