Зловреден софтуер GhostProfile за macOS клонира браузърни профили, за да открадне активни сесии

Новооткрит зловреден софтуер за macOS, наречен GhostProfile, клонира браузърни профили и позволява на атакуващи да контролират скрити копия на Chrome или Firefox, използвайки активните потребителски сесии на жертвата.

Вместо да показва или копира видимия десктоп, зловредният софтуер създава отделна работна област на браузъра, където операторът може да сърфира в уебсайтове с бисквитки, взети от заразения Mac.

Тази заплаха надхвърля събирането на пароли за по-късна употреба. Работейки в копиран браузърен профил, атакуващ може да достигне до акаунти, чиито сесии остават валидни без повторно влизане.

Нормалният браузър на жертвата може да остане отворен, докато дейността се извършва другаде, което прави злоупотребата с акаунт по-трудна за забелязване само чрез видими промени на екрана.

Изследователи от Moonlock Lab идентифицираха зловредния софтуер, след като получиха образец, споделен от MalwareHunterTeam, и оповестиха своите открития на 12 октомври 2026 г.

В първоначалната си изследователска нишка за GhostProfile, екипът описа образеца като очевидно неоткрит към този момент. Това ранно наблюдение не установява универсално избягване на антивирусни програми, а изследователите отбелязаха, че скриптът за доставяне вече е бил откриваем.

Зловреден софтуер GhostProfile за macOS клонира браузърни профили

Традиционният hVNC (hidden Virtual Network Computing) зловреден софтуер обикновено създава скрит десктоп. GhostProfile вместо това изгражда временно копие на браузърен профил и го контролира чрез Chrome DevTools Protocol, известен като CDP, и WebDriver BiDi.

Тези браузърни интерфейси дават на оператора начин да взаимодейства със страници, докато използва копираното състояние за вход. Подходът наподобява техники, обхванати в AmnesiaStealer за скрит контрол на браузъра, където компонент от втори етап копира браузърни профили и управлява скрита сесия на Chromium.

Общата загриженост е достъпът до активни акаунти, а не само кражба на пароли. Въпреки това, подобно поведение не установява, че GhostProfile и AmnesiaStealer споделят разработчици, инфраструктура или основен код.

За да скрие прозореца на браузъра си, GhostProfile го премества до екранни координати далеч извън видимия дисплей. Той също така променя флага за автоматизация на браузъра и фалшифицира информацията за WebGL и плъгините.

Тези промени изглежда целят да направят автоматизираното сърфиране по-малко очевидно за уебсайтовете, въпреки че разкритието на Moonlock не демонстрира, че всеки сайт приема прикритието.

Операторът получава JPEG екранни снимки и може да изпраща симулирани щраквания с мишката и въвеждане от клавиатурата. Moonlock също така съобщи, че имплантът предоставя на контролирания браузър разрешения за достъп до камера, микрофон, местоположение, известия и клипборд.

Тези възможности разширяват потенциалното въздействие, но разкритието не показва, че операторите са използвали всяко разрешение срещу жертвите.

Доставка, персистиране и кражба на данни

Веригата на инфекция започва с кратка шел команда, която предава изтеглено съдържание в zsh шел. Нейният скрипт за доставяне изтегля агента, премахва маркера му за карантина, поставя злонамерения код в папката Downloads и регистрира фалшив LaunchAgent за системна актуализация. Настройките RunAtLoad и KeepAlive поддържат автоматично стартиране и продължителна работа.

Това прикритие следва познат модел при атаките за персистиране с фалшиви актуализатори, където зловреден софтуер заема имена на доверен софтуер, за да скрие записи за стартиране.

Следователно, докладваната самоличност на актуализатора на GhostProfile трябва да бъде проверена спрямо местоположението на файла и поведението му, а не да се приема за легитимна просто защото името звучи като системен компонент.

GhostProfile се фокусира върху браузъри от семейството Chromium и Firefox, типовете браузъри, които може да контролира. Той изследва хранилищата за бисквитки, използвайки инструменти на SQLite, и чете системния клипборд чрез интерфейса NSPasteboard на macOS.

Агентът също така съдържа четлив hVNC банер, подразбиращ се предварително споделен ключ и временни работни директории, които премахва при излизане.

Допълнителна функция за качване и стартиране прави импланта лоудър. Оператор може да изпрати ZIP архив или дисков образ, след което агентът го извлича или монтира, намира приложение, изчиства карантината и го стартира.

Това създава маршрут за допълнителен зловреден код, въпреки че Moonlock не идентифицира потвърдено последващо семейство зловреден софтуер. По-широкият риск съвпада с кражбата на браузъри от Odyssey Stealer, където откраднатите бисквитки могат да изложат акаунти, без веднага да разкрият техните пароли.

GhostProfile добавя директно взаимодействие със скрит браузър. Все пак, докладваната му способност за клониране не трябва да се третира като доказателство, че всяка сесия остава използваема или че всички допълнителни проверки за удостоверяване могат да бъдат заобиколени.

Екипите по сигурността трябва да разследват неочаквани копия на браузърни профили, скрити стартирания на браузъри, непознати LaunchAgents за актуализатори и връзки към докладваната инфраструктура.

Подозрени Mac компютри трябва да бъдат изолирани, докато се запазват доказателства. Възстановяването на акаунти трябва да включва отменяне на компрометирани сесии и промяна на идентификационните данни от доверено устройство, вместо да се разчита само на нулиране на парола за прекратяване на текущия достъп.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено „обезоръжени“ (напр. [.]), за да се предотврати случайно разрешаване или хипервръзка. „Въоръжете“ ги отново само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.

Актуализирайте защитите срещу нов зловреден софтуер веднага щом се появи. Интегрирайте информационни емисии за заплахи (TI Feeds) с данни от 16K SOCs.