SHub Reaper na macOS: nowy stealer podszywa się pod Apple, Google i Microsoft

Wprowadzenie do problemu / definicja

SHub Reaper to nowy wariant złośliwego oprogramowania wymierzonego w użytkowników macOS. Zagrożenie należy do kategorii infostealerów, ale jego możliwości wykraczają poza standardową kradzież danych, ponieważ łączy eksfiltrację informacji z mechanizmami trwałości i funkcjami zdalnego wykonywania poleceń.

Na szczególną uwagę zasługuje sposób prowadzenia infekcji. Malware wykorzystuje wieloetapowe podszywanie się pod zaufane marki technologiczne, takie jak Apple, Google i Microsoft, aby zwiększyć wiarygodność kampanii i ograniczyć czujność ofiary.

W skrócie

SHub Reaper wykorzystuje fałszywe instalatory aplikacji, m.in. WeChat i Miro, jako przynętę do rozpoczęcia infekcji. Po uruchomieniu łańcucha ataku ofiara styka się z kolejnymi elementami imitującymi legalne komponenty znanych firm, co utrudnia rozpoznanie oszustwa.

Nowa odmiana odchodzi od klasycznego modelu ClickFix, w którym użytkownik był nakłaniany do ręcznego uruchamiania poleceń w Terminalu. Zamiast tego napastnicy wykorzystują AppleScript i natywne mechanizmy macOS, a następnie budują trwałość przypominającą legalny framework aktualizacyjny Google, przez co malware pełni również rolę lekkiego backdoora.

Kontekst / historia

Rodzina SHub od pewnego czasu pozostaje znanym zagrożeniem dla ekosystemu macOS. Wcześniejsze kampanie często bazowały na socjotechnice związanej z kopiowaniem i wklejaniem komend do Terminala, co było charakterystyczne dla scenariuszy określanych jako ClickFix.

SHub Reaper pokazuje jednak wyraźną zmianę taktyki. Operatorzy malware przenoszą ciężar wykonania z poleceń terminalowych na bardziej naturalne dla użytkownika macOS przepływy oparte na AppleScript i Script Editor, dzięki czemu infekcja może wyglądać mniej podejrzanie i lepiej omijać mechanizmy obronne nastawione na starsze wzorce ataku.

Analiza techniczna

Infekcja rozpoczyna się od spreparowanych stron oferujących rzekome instalatory popularnych aplikacji. Użytkownik trafia na wiarygodnie wyglądający zasób i uruchamia komponent, który inicjuje dalsze etapy ataku. Istotnym elementem kampanii jest wielowarstwowe podszywanie się pod różne marki w ramach jednego łańcucha infekcji.

Kluczową zmianą względem starszych kampanii jest wykorzystanie schematu applescript://, który otwiera Script Editor z przygotowanym wcześniej skryptem AppleScript. Dzięki temu ofiara nie musi ręcznie uruchamiać poleceń w Terminalu, co zmniejsza liczbę sygnałów ostrzegawczych i zwiększa skuteczność socjotechniki.

Po uruchomieniu skrypt może wyświetlać fałszywe komunikaty bezpieczeństwa i pobierać kolejne komponenty przy użyciu natywnych narzędzi systemowych, takich jak curl, a następnie wykonywać je przez powłokę. Taki model działania wpisuje się w techniki living-off-the-land, które utrudniają wykrycie aktywności na podstawie samych artefaktów plikowych.

Pod względem funkcjonalnym SHub Reaper wyszukuje poświadczenia, dane z menedżerów haseł, rozszerzenia portfeli kryptowalutowych oraz wrażliwe pliki użytkownika. Jednocześnie instaluje fałszywy framework aktualizacyjny w katalogach biblioteki użytkownika i rejestruje LaunchAgent naśladujący nazewnictwo Google Keystone, uzyskując trwałość i możliwość cyklicznej komunikacji z infrastrukturą napastnika.

• Fałszywe instalatory aplikacji jako wektor początkowy
• Wykorzystanie applescript:// i Script Editor zamiast Terminala
• Pobieranie kolejnych komponentów przez natywne narzędzia systemowe
• Kradzież poświadczeń, dokumentów i danych z portfeli kryptowalutowych
• Trwałość przez LaunchAgent i komponenty imitujące Google Update

Konsekwencje / ryzyko

Największe zagrożenie wynika z połączenia funkcji stealera z mechanizmami persistence i zdalnego sterowania. Incydent może prowadzić nie tylko do wycieku haseł i dokumentów, ale również do utrzymania stałego kanału dostępu do stacji roboczej.

W środowiskach firmowych skutki mogą obejmować przejęcie kont SaaS, poczty, VPN, repozytoriów kodu i innych usług opartych na poświadczeniach użytkownika. Dodatkowo wykorzystanie legalnych komponentów systemu macOS utrudnia wykrycie zagrożenia przez rozwiązania skoncentrowane głównie na monitorowaniu Terminala lub klasycznych wskaźników malware.

Ryzyko zwiększa także wielomarkowy spoofing. Odwołania do Apple, Google i Microsoftu mogą sprawiać, że użytkownik uzna komunikaty, nazwy plików lub ścieżki katalogów za legalne, co podnosi skuteczność kampanii nawet wobec bardziej świadomych odbiorców.

Rekomendacje

Organizacje korzystające z macOS powinny rozszerzyć monitoring o zachowania wykraczające poza tradycyjny ClickFix. W praktyce warto obserwować uruchomienia Script Editor, nietypowe wywołania osascript, relacje procesów, w których AppleScript inicjuje curl lub interpretery powłoki, a także łańcuchy przeglądarka–AppleScript.

Istotne znaczenie ma również hardening systemów i kontrola źródeł oprogramowania. Pobieranie aplikacji wyłącznie z oficjalnych kanałów oraz ograniczanie uruchamiania nieautoryzowanych skryptów może znacząco zmniejszyć ryzyko skutecznej infekcji.

• Monitorowanie Script Editor, osascript i nietypowych łańcuchów procesów
• Kontrola katalogów użytkownika pod kątem podejrzanych LaunchAgentów
• Wdrożenie EDR z telemetrią procesów, skryptów i persistence na macOS
• Blokowanie lub oznaczanie domen podszywających się pod znane marki
• Egzekwowanie instalacji aplikacji wyłącznie z oficjalnych źródeł
• Szkolenie użytkowników w zakresie rozpoznawania fałszywych komunikatów i instalatorów

Z punktu widzenia reagowania na incydenty warto przygotować playbook dla infekcji stealerami na macOS. Powinien on obejmować reset poświadczeń, rotację tokenów, przegląd aktywnych sesji oraz analizę artefaktów trwałości pozostawionych przez malware.

Podsumowanie

SHub Reaper potwierdza, że zagrożenia dla macOS stają się coraz bardziej dojrzałe i łączą zaawansowaną socjotechnikę z technikami living-off-the-land. Najważniejszą zmianą jest odejście od jawnego nakłaniania użytkownika do korzystania z Terminala na rzecz AppleScript i natywnych komponentów systemowych.

Dla zespołów bezpieczeństwa oznacza to konieczność aktualizacji strategii detekcji oraz większego nacisku na analizę zachowań procesów, skryptów i mechanizmów persistence. W praktyce SHub Reaper nie jest już wyłącznie stealerem, lecz narzędziem umożliwiającym dłuższy i bardziej niebezpieczny kompromis hosta.

Źródła

1. Dark Reading — https://www.darkreading.com/threat-intelligence/stealer-spoofs-google-microsoft-apple-backdoors-macos
2. SentinelOne — SHub Reaper | macOS Stealer Spoofs Apple, Google, and Microsoft in a Single Attack Chain — https://www.sentinelone.com/blog/shub-reaper-macos-stealer-spoofs-apple-google-and-microsoft-in-a-single-attack-chain/
3. BleepingComputer — SHub macOS infostealer variant spoofs Apple security updates — https://www.bleepingcomputer.com/news/security/shub-macos-infostealer-variant-spoofs-apple-security-updates/amp/
4. 9to5Mac — ClickFix malware authors already bypassing Apple’s new Terminal paste warnings — https://9to5mac.com/2026/04/18/security-bite-clickfix-malware-authors-already-bypassing-apples-new-terminal-paste-warnings/