heise online: Malvertising: Suche nach Standardbefehlen für Macs liefert Infostealer

[tehabe]

Bitte aufpassen, wo ihr euch Befehle copy and pasted, benutzt keine Befehle, die ihr nicht versteht. Achtet, darauf wenn curl benutzt wird.

https://www.heise.de/news/Malvertising-Suche-nach-Standardbefehlen-fuer-Macs-liefert-Infostealer-10438747.html

 

[Killerkaninchen]

Wow. Das wird ja immer perfider. Zum Glück bin ich nicht versiert genug, um mich ans Terminal überhaupt heranzutrauen.

Danke fürs Teilen!

 

[tocotronaut]

So perfide ist das gar nicht. Vermutlich nichtmal strafbar...
Sie bieten halte Malware & Installationsanleitung auf einer Webseite im Internet an.

Wer dem internet vertraut, dem ist nicht zu helfen.

 

[chris25]

Man sollte nie Sachen ins Terminal eingeben, die man nicht versteht*. In diesem Fall ist es recht offensichtlich, was der Code macht / nicht macht. Aber als Laie sieht man das wahrscheinlich nicht, da sollte man vorher z.B. ChatGPT befragen, was der Code macht.

* "sudo rm -rf /" wurde auch gerne als Antwort auf Fragen von Ahnungslosen gegeben

 

[MrChad]

da sollte man vorher z.B. ChatGPT befragen, was der Code macht.

Und das wird dir dann ganz-ganz bestimmt und ganz-ganz sicher erklären, was dahintersteckt ...

wat hamwer da jelacht ...

 

[Schiffversenker]

KI füttert sich mit dem, was sie im Netz findet. Wenn der Mal-Code mehrfach auftaucht, wird KI den auch fressen und für wahr erachten.
Zumindest besteht das Risiko.
Zumindest die Basics sollte man sich selbst aneignen, wenn benötigt. Also wenigstens was die angegebenen Befehle so im Prinzip machen (siehe im Terminal mit man [Befehl]). Zumindest bei Einzeilern einigermaßen überschaubar.
Das Risiko ist doch eigentlich nicht größer als bei „normalen“ Programmen. Hat man den Quelltext, müsste man ihn lesen und verstehen können, hat man nur das fertig kompilierte Binary, muß man dem Anbieter vertrauen. We weiß schon (Achtung: Verschwörungstheorie!), ob in manchen ach so netten Tools nicht Codeschnipsel stecken, die zu einem festen Termin oder auf Kommando aus dem Kreml oder dem Oval Office irgendeinen Mist machen?

 

[tehabe]

KI füttert sich mit dem, was sie im Netz findet. Wenn der Mal-Code mehrfach auftaucht, wird KI den auch fressen und für wahr erachten.

Wenn die KI nicht in Wirklichkeit 700 Inder in einem Trenchcoat sind.

 

[chris25]

Und das wird dir dann ganz-ganz bestimmt und ganz-ganz sicher erklären, was dahintersteckt ...

wat hamwer da jelacht ...

ChatGPT wird vor Malware warnen und sagen, dass der Code einen bash-Befehl ausführt, dass "curl -fsSL" Content silent runterlädt und dass es sich bei dem Buchstabensalat um eine verschlüsselte / versteckte URL handelt. Nichts davon hat etwas mit der Absicht den DNS-Cache zu löschen zu tun.

it appears to be a malicious command that could be used to download and execute arbitrary scripts from the internet. This type of pattern is commonly used in malware and security exploits. This is a dangerous pattern that could install malware, steal data, or compromise your system. I won't provide details on how such exploits work.

Wie kommst Du darauf, dass ChatGPT den Code nicht erklären würde? Code ist eine Stärke von LLMs. Und bei relativ bekannten Pattern muss die KI noch nicht mal viel "nachdenken".
---
Die von heise bemängelte URL wird bei Google übrigens immer noch als Gesponserter Link ganz oben angezeigt.

 

[Difool]

Wow. Das wird ja immer perfider.

Nicht „nur“ das.

Mittlerweile werden auch ganz normale Prozedere benutzt, wie bsw. die Verfikationen von Websites.
„Captchas“, „Cookie-Consent-Bestätigungen“ und „Bestätigung, das Sie kein Bot sind …“ (turnstile) zum Beispiel.

Sprich, die Dinger, auf welche der normale Benutzer soweit „trainiert“ wurde, um all diese Cookies-Abfragen usw. möglichst schnell zu bewerkstelligen.
Klick, Klick … Bestätigen …
… und schwupps wird durch Device-Abfrage dem Anwender ein für sein dazu verwendetes System (OS) ein taugliches Script angeboten.
HIER lohnt aufmerksam zu lesen, denn soweit „enttarnen“ sich solche Schadanwendungen glücklicherweise noch durch „falsche Übersetzungen“
und dämliche Orthografie.

„Angeboten“ ist allerdings nicht unbedingt die richtige Betitelung, weil teilsweise parallel das/ein Shell-Script (wenn macOS bsw.) runterlädt
und ausgeführt wird, um eine Passwort-Abfrage an den Benutzer zu stellen.
Wer dabei nicht annähernd mitbekommt, was da anfragt, tippt wohl ein – dann wird weitere Malware runtergeladen und der „Spaß“ beginnt.

###

„Browser-Hijacking“ ist momentan ganz „en Vogue“.
Der Full-Screen-Modus von Safari ist da sehr anfällig für, weil Safari im Full-Screen-Modus ein „Bug“ hat, der ausgenutzt werden kann.

Fullscreen BitM Attack nennt sich das.

Quelle: https://hackread.com/fullscreen-bitm-attack-discovered-by-squarex-exploits-browser-fullscreen-apis-to-steal-credentials-in-safari/

edit:
Aber nicht nur Safari – auch andere Browser im Full-Screen-Mode:
Safari, Firefox, Chrome, Edge and other Chromium-based browsers …

Safari ist nur „mehr“ anfällig, weil es dort keine Meldung gibt, wie „Safari ist jetzt im Full-Screen-Mode“ o.s.ä.
Und auf eben diese Fullscreen-API-Schwachstelle und Meldung greift dieser Hijack.

const elem = document.getElementById("elephant-video");
if (elem. requestFullscreen) {
elem.requestFullscreen©;
}

edit2:
Informationen und Tests zu Safaris Fullscreen-API-Schwachstelle:

https://sqrx.com/fullscreen-bitm