Aktiv təhdid ailəsimacOSGiriş məlumatı oğurluğu
Malware Intelligence

Poseidon Stealer

Poseidon "Rodrigo4" adlı şəxsin satdığı macOS infostealer-idir. Disk görüntüsündəki Mach-O faylı osascript ilə əsas yükü daşıyan AppleScript-i işə salır; fayllar ZIP arxivinə qoyulub sabit C2 ünvanına HTTP ilə yüklənir.

Fəaliyyət xəritəsi

MalwarebytesRed Canary

Fəaliyyət xəritəsiEndirməİşə salmaPaketləməGöndərməSponsorluaxtarış reklamıArc brauzeriSaxta endirməsaytıSaxta endirmə səhifəsiDMGDisk görüntüsüosascriptAppleScript yüküPoseidon StealerInfostealerMəlumat toplama7 hədəfLog arxiviC2 serveri
İcra edilə bilən yükFayl
Zərərli yükPoseidon Stealer · Infostealer

Poseidon "Rodrigo4" adlı şəxsin satdığı macOS infostealer-idir. Disk görüntüsündəki Mach-O faylı osascript ilə əsas yükü daşıyan AppleScript-i işə salır; fayllar ZIP arxivinə qoyulub sabit C2 ünvanına HTTP ilə yüklənir.

Mühit məlumatları

  • Əməliyyat sistemi
  • Aparat
  • IP və yer
  • Quraşdırılmış proqramlar
  • Masaüstü faylları

Giriş və tətbiq məlumatları

  • Saxlanmış parollar
  • Sessiya kukiləri
  • Avtomatik doldurma
  • Saxlanmış kartlar
  • Açar Zənciri
  • Exodus
  • Electrum
  • MetaMask
Dark Radar yoluxma qeydi
7.177
Son yoluxma qeydi
8 Oktyabr 2026
Zərərli proqram növü
Infostealer
İlk görülmə
2024
01

Ümumi baxış

Dark Radar məlumatlarında 7.177 yoluxma qeydi ilə 52 ailə arasında 37-ci yerdədir.

Digər adları: Rodrigo Stealer

02

Mənşə və inkişaf

  1. İyun 2024Saxta brauzer endirmə reklamları ilə yayıldı.Malwarebytes
03

Texniki profil

Zərərli proqram növüInfostealer
Hədəf əməliyyat sistemimacOS
Əsas məqsədMəlumat oğurluğu
Təhdid kateqoriyasıGiriş məlumatı oğurluğu
Proqramlaşdırma diliMach-O + AppleScript
Yayılma modeli"Rodrigo4" tərəfindən satış
İlk görülmə2024
Yoluxmuş sistemlərmacOS 91,5%
İctimai mənbə etibarlılığıOrta
04

Hədəf alınan tətbiqlər

7 tətbiq5 kateqoriya
05

Məlumat toplama

Giriş məlumatları

  • Brauzer parolları99%Təsdiqlənib
  • Sessiya kukiləri100%Dark Radar müşahidəsi
  • Müddəti bitmiş sessiyanı yeniləmə—
  • Avtomatik doldurma97,5%Dark Radar müşahidəsi
  • macOS Açar Zənciri53,5%Təsdiqlənib
  • 2FA və parol menecerləri—

Maliyyə

  • Saxlanmış kartlar34,5%Dark Radar müşahidəsi
  • Masaüstü kripto cüzdanlarTəsdiqlənib
  • Cüzdan genişlənmələri—
  • Buferdəki ünvanın dəyişdirilməsi—

Tətbiqlər

  • E-poçt müştəriləri—
  • FTP müştəriləri—
  • VPN müştəriləriBildirilib
  • Mesajlaşma tətbiqləri—
  • Oyun platformaları—

Sistem

  • Fayl toplamaTəsdiqlənib
  • Ekran görüntüsü—
  • Sistem inventarı100%Dark Radar müşahidəsi
06

Fayl sistemi

İstifadəçi qovluğu (~)
Fayl təfərrüatları Dark Radar Intelligence-dadırIntelligence-da aç
07

İş mexanizmi

  1. 1Yoluxma

    • Axtarış reklamları ilə saxta tətbiq səhifələri.
    T1189Drive-by Compromise

    Qırılma nöqtəsi: E-poçt əlavələri, sponsorlu reklam linkləri və lisenziyasız proqram endirmələri e-poçt və veb şlüzündə bloklanır.

  2. 2İşə salma və gizlənmə

    • osascript ilə AppleScript yükü; istifadəçidən parol istənilir.
    T1059.002AppleScript

    Qırılma nöqtəsi: Yalnız imzalı və notarial təsdiqli tətbiqlərə icazə verilir; osascript ilə parol istəyən proseslər izlənilir.

  3. 3Kəşf

    Dark Radar müşahidəsi

    Yoluxmuş sistemlər: macOS 91,5%.

    Qırılma nöqtəsi: Qısaömürlü prosesdən gələn toplu sistem və təhlükəsizlik proqramı sorğuları EDR xəbərdarlığı yaradır.

  4. 4Məlumat toplama

    Dark Radar müşahidəsi

    Son 200 logda tapılan məlumatlar: parol faylı 99%, kuki 100%, avtomatik doldurma 97,5%, kart 34,5%.

    T1056.002GUI Input CaptureT1555.001KeychainT1555.003Credentials from Web BrowsersT1560Archive Collected Data

    Qırılma nöqtəsi: Brauzerdən kənar prosesin brauzer profil fayllarını oxuması bloklanır və ya xəbərdarlıq yaradır.

  5. 5Sızdırma və C2

    • ZIP arxivi HTTP ilə sabit C2-yə yüklənir.
    T1071.001Web ProtocolsT1041Exfiltration Over C2 Channel

    Qırılma nöqtəsi: Yeni qeydiyyatdan keçmiş domenlərə, birbaşa IP ünvanlarına və qeyri-standart portlara gedən trafik bloklanır.

08

MITRE ATT&CK

Initial Access
Execution
Credential Access
Collection
Command and Control
Exfiltration
09

IOC və aşkarlama

Bu bölmə Dark Radar Intelligence-dadırIntelligence-da aç
10

Risk və təsir

  • Oğurlanmış sessiya kukiləri parol və çoxfaktorlu autentifikasiya soruşulmadan bulud, e-poçt və SaaS sessiyalarını ələ keçirmək üçün kifayətdir.
  • Şəxsi cihazda saxlanmış korporativ parollar korporativ şəbəkədən kənar yoluxmalarla da sızır; bu loglar ilkin giriş brokerlərinə satılır.
  • Log arxivləri illərlə yenidən paylaşılır; parol dəyişdirilmədikcə eyni giriş məlumatı dəfələrlə istifadə edilə bilər.
  • Ələ keçirilmiş e-poçt, mesajlaşma və sosial media hesabları fişinqin və zərərli proqram yayılmasının növbəti halqasına çevrilir.
11

Müdafiə

  • Yoluxma aşkar edildikdə yalnız parolu deyil, bütün əlaqəli sessiyaları və giriş tokenlərini ləğv edin.
  • Brauzerdə parol saxlamanı korporativ siyasətlə söndürün; korporativ parol menecerindən istifadə edin.
  • Fişinqə davamlı çoxfaktorlu autentifikasiyaya (FIDO2/passkey) keçin; sessiyaları cihaza bağlayın.
  • Lisenziyasız proqram, oyun hiyləsi və sponsorlu axtarış nəticələrindən endirilən quraşdırma fayllarını bloklayın.
  • İstifadəçinin Run pəncərəsinə və ya terminala yapışdıraraq komanda işlətdiyi axınları (ClickFix) son nöqtə qaydaları ilə izləyin.
  • Dark Radar ilə korporativ domenlərinizi və əməkdaş e-poçt ünvanlarınızı stealer loglarında davamlı izləyin.
12

Öyrənmə mərkəzi

Bu zərərli proqram necə yoluxur?
  • Axtarış reklamları ilə saxta tətbiq səhifələri.
Sistemdə mövcudluğu necə müəyyən edilir?
  • Hesablara tanınmayan ölkə və ya cihazdan sessiya açılması.
  • Dark Radar-da korporativ domeninizə və ya əməkdaş e-poçtunuza aid yeni infostealer logu.
Hansı macOS artefaktları araşdırılır?
  • ~/Downloads altındakı DMG faylları və com.apple.quarantine atributu.
  • İstifadəçinin Terminal tarixçəsi (~/.zsh_history).
  • /tmp altında müvəqqəti ZIP arxivləri.
  • ~/Library/LaunchAgents altındakı yeni plist faylları.
Hansı log qeydləri vacibdir?
  • Vahid jurnal (log show)osascript prosesləri və istifadəçidən parol istəyən dialoq pəncərələri.
  • TCC verilənlər bazasıTerminal-a və ya naməlum tətbiqə verilmiş Tam Disk Girişi icazəsi.
  • Son nöqtə təhlükəsizliyi çərçivəsi (ESF)Açar Zənciri faylına və brauzer profillərinə müraciət edən proseslər.
  • ~/.zshrc, LaunchAgentsDavamlılıq üçün əlavə edilən sətirlər və plist faylları.
Hansı MITRE texnikaları ilə əlaqəlidir?
T1189Drive-by CompromiseT1059.002AppleScriptT1056.002GUI Input CaptureT1555.001KeychainT1555.003Credentials from Web BrowsersT1560Archive Collected DataT1071.001Web ProtocolsT1041Exfiltration Over C2 Channel
SOC analitiki necə müdaxilə etməlidir?
  1. Cihazı şəbəkədən ayırın; yaddaş və disk görüntüsünü almadan yenidən quraşdırmayın.
  2. Yoluxma tarixini müəyyən edin; həmin tarixdən sonra cihazda sessiya açılmış bütün hesabları siyahıya alın.
  3. Bu hesabların parollarını dəyişin, sessiyalarını və giriş tokenlərini ləğv edin, çoxfaktorlu autentifikasiya cihazlarını yenidən qeydiyyatdan keçirin.
  4. Kimlik provayderi və SaaS jurnallarında yoluxmadan sonrakı yeni ölkə, cihaz və token istifadələrini axtarın.
  5. Bərpa ifadəsi və ya cüzdan faylı üzə çıxıbsa, aktivləri yeni cüzdana köçürün.
  6. İlkin giriş yolunu (e-poçt, reklam, lisenziyasız proqram, saxta CAPTCHA) tapın və eyni yoldan istifadə edən digər istifadəçiləri yoxlayın.
  7. Cihazı təmiz görüntü ilə yenidən quraşdırın.
13

Mənbələr

Əlaqəli terminlər

Zərərli reklam
Essential paketindən başlayaraq

Infostealer Detection

Şirkətinizin sızma səthini tək ekranda görün: neçə tapıntı, hansı şiddətdə, hansı domendə.

Məhsula baxPaketləri müqayisə edin