Un nuovo infostealer macOS chiamato SHub Reaper sta colpendo gli utenti Apple con una catena d’attacco sofisticata. Il malware impersona contemporaneamente Apple, Microsoft e Google per sottrarre dati sensibili. SentinelLabs ha documentato pubblicamente la minaccia a metà maggio 2026.
Come funziona la catena d’attacco di SHub Reaper
Siti falsi e domini typo-squattati
Tutto inizia con siti di installazione contraffatti. Gli attaccanti replicano pagine di download di applicazioni popolari come WeChat e Miro. Usano domini typo-squattati, tra cui mlcrosoft[.]co[.]com, per ingannare le vittime.
L’utente crede di scaricare un software legittimo. In realtà avvia una catena d’attacco multi-stadio. La truffa visiva è estremamente convincente.
Il bypass delle protezioni Apple Tahoe 26.4
Questo è uno degli aspetti più rilevanti della minaccia. Apple aveva introdotto mitigazioni in macOS Tahoe 26.4 contro gli attacchi ClickFix. Questi attacchi richiedevano all’utente di incollare comandi nel Terminale.
SHub Reaper aggira queste protezioni in modo intelligente. Sfrutta lo schema URL applescript:// per aprire il macOS Script Editor. In questo modo carica un payload AppleScript malevolo senza passare dal Terminale.
Di conseguenza, le difese di Apple risultano bypassate. L’utente non si accorge di nulla. Il codice malevolo viene eseguito silenziosamente.
Furto di dati e modulo Filegrabber
Raccolta della password e dei dati sensibili
Una volta eseguito, il malware mostra una finta finestra di dialogo. Richiede alla vittima di inserire la password di accesso macOS. Con questa credenziale, SHub Reaper decifra e ruba dati da:
- Browser e password manager
- iCloud e sessioni Telegram
- Portafogli di criptovalute multipli
Inoltre, il malware dispone di un modulo Filegrabber simile ad Atomic macOS Stealer (AMOS). Questo componente scansiona le cartelle Desktop e Documenti. Cerca file rilevanti per il business e la finanza.
Tipologie di file nel mirino
I formati presi di mira includono .docx, .doc, .wallet, .key, .xls, .xlsx, .json, .csv, .rdp e file .txt. Vengono raccolti file fino a circa 2 MB per i documenti e 6 MB per le immagini .png.
Vale la pena sottolineare che il malware applica limiti precisi. La raccolta totale si ferma intorno ai 150 MB. I dati esfiltrati vengono compressi in archivi ZIP da circa 70 MB prima di essere inviati al server C2.
In questo contesto, la minaccia è particolarmente grave per aziende con dipendenti in smart working. I file finanziari e i wallet crypto sono obiettivi prioritari.
Persistenza e backdoor remota
Il falso Google Software Update
Dopo il furto dei dati, SHub Reaper installa una backdoor persistente. Crea una directory contraffatta che imita Google Software Update:
~/Library/Application Support/Google/GoogleUpdate.app/Contents/MacOS/
In questa directory deposita uno script bash chiamato GoogleUpdate. Lo script viene registrato come LaunchAgent con l’identificativo com.google.keystone.agent.plist. Il LaunchAgent si esegue ogni 60 secondi.
Comunicazione con il server C2
Parallelamente, lo script invia segnali di vita a un endpoint di comando e controllo (/api/bot/heartbeat). Se il server risponde con un payload denominato “code”, lo script lo decodifica ed esegue. L’esecuzione avviene con i privilegi dell’utente compromesso.
Tuttavia, la cosa più preoccupante è la flessibilità di questo meccanismo. Gli operatori possono inviare qualsiasi comando arbitrario al sistema infetto. Questo trasforma l’infezione da semplice furto di dati a compromissione totale.
Indicazioni per i team di sicurezza
SHub Reaper rappresenta un’evoluzione significativa nel panorama delle minacce macOS. Nessun gruppo specifico è stato ufficialmente attribuito. Gli operatori sono però associati alla più ampia famiglia di malware SHub.
I CISO e i team di sicurezza dovrebbero prendere misure concrete:
- Bloccare i domini typo-squattati nelle soluzioni di filtraggio DNS
- Monitorare i LaunchAgent sospetti, specialmente quelli che imitano Google Keystone
- Verificare il traffico verso endpoint
/api/bot/heartbeat - Formare gli utenti a non inserire la password macOS in finestre di dialogo inaspettate
In particolare, le organizzazioni che adottano macOS in ambienti aziendali dovrebbero rivedere le policy di sicurezza degli endpoint. La minaccia è attiva e in continua evoluzione.
Fonti
- SentinelOne SentinelLabs – Analisi tecnica completa
- HelpNetSecurity – Copertura della minaccia
- HackRead – Dettagli sul dominio Microsoft falso
- Dark Reading – Analisi della backdoor
- Fonte originale – CSO Online
Fonte: Articolo originale
La diffusione di infostealer avanzati come SHub Reaper evidenzia quanto sia critica la condivisione tempestiva di threat intelligence tra organizzazioni. IsacChain permette agli ISAC e alle aziende di scambiarsi indicatori di compromissione in modo sicuro e verificato tramite blockchain, riducendo drasticamente i tempi di risposta. La compliance NIS2 automatizzata integrata nella piattaforma consente inoltre di documentare ogni azione di risposta agli incidenti senza oneri aggiuntivi per i team di sicurezza. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com