Шкідлива реклама замість Homebrew: український інженер виявив загрозу для Mac
QA-інженер Сергій Яровий виявив шкідливу рекламу в Google, шукаючи популярний менеджер пакетів Homebrew. Натомість він натрапив на фальшиву сторінку, яка намагалася інфікувати macOS шкідливим ПЗ.
Суть атаки
Цей випадок демонструє, що позначка «Sponsored» не гарантує безпеки. Яровий зазначив, що під час пошуку «homebrew» першим результатом була реклама, яка виглядала правдоподібно, але насправді вела на небезпечний сайт.
Механізм інфікування
- Маскування: Система перевіряла ОС користувача. Якщо запит надходив з macOS, відкривалася фальшива сторінка, в інших випадках — помилка 404.
- Психологічний трюк: Користувачеві пропонувалося скопіювати команду для встановлення, яка містила справжню адресу офіційного інсталятора Homebrew.
- Складна розпаковка: Команда запускала ланцюг команд для прихованої доставки виконуваного файлу.
Аналіз шкідливого файлу
Яровий провів статичний аналіз завантаженого файлу і виявив, що це Universal Mach-O файл, підготовлений для Intel та Apple Silicon. Він містив обфускацію, непрямі виклики функцій та близько 1700 зашифрованих записів. Файл було оновлено всього за 37 хвилин до його завантаження, що свідчить про активну кампанію.
Рекомендації для захисту
Сергій Яровий радить дотримуватися основних правил цифрової безпеки:
- Не переходьте за рекламними посиланнями: позначка «Реклама» не є гарантією безпеки.
- Перевіряйте команди перед виконанням: не копіюйте команди з рекламних сторінок без детального аналізу.
Джерело: dev.ua (https://dev.ua/news/google-reklamuvav-shkodochynne-pz-dlia-mac-pid-vyhliadom-homebrew-1791460427)