Νέα κυβερνοεπίθεση στοχεύει χρήστες macOS μέσω μιας οικογένειας κακόβουλου λογισμικού γνωστής ως Phexia, η οποία εξαπλώνεται με τη μέθοδο ClickFix. Σύμφωνα με έκθεση της WithSecure, οι επιθέσεις ξεκινούν από παραπλανητικές ιστοσελίδες που πείθουν τους χρήστες να αντιγράψουν και να επικολλήσουν μια εντολή στο Terminal του Mac τους.
Πώς λειτουργεί η μόλις μόλυνση και το κόλπο του Terminal
Η εντολή χρησιμοποιεί το εργαλείο curl για να κατεβάσει ένα κέλυφος (shell script, συνηθισμένα ονόματα όπως update.sh ή script.sh) και να το εκτελέσει απευθείας. Στη συνέχεια, το σεντρίκι εγκαθιστά έναν μηχανισμό διατήρησης (LaunchAgent) στον φάκελο Library του χρήστη, χρησιμοποιώντας ονομασίες όπως com.Apple. ακολουθούμενες από τυχαία γράμματα ώστε να μοιάζουν με γνήσια αρχεία της Apple.
Το κακόβουλο λογισμικό ενεργεί ως αρθρωτό backdoor και κλέφτης πληροφοριών (infostealer):
Υποκλέπτει τον κωδικό πρόσβασης σύνδεσης του χρήστη χρησιμοποιώντας το εργαλείο dscl και πλαστά παράθυρα System Preferences.
- Αποθηκεύει τον κωδικό σε κρυφό αρχείο με την ονομασία .passphrase.
- Συλλέγει δεδομένα προγραμμάτων περιήγησης (Chrome, Edge, Brave, Opera, Vivaldi), συμπεριλαμβανομένων cookies, ιστορικού και αποθηκευμένων κωδικών, καθώς και αρχεία από το Keychain και επεκτάσεις διαχείρισης κωδικών (LastPass, NordPass).
- Συμπιέζει τα δεδομένα και τα ανεβάζει σε διακομιστή C2 και σε εξωτερικό διακομιστή (62.60.226[.]50) μέσω απλού HTTP.
- Εγκαθιστά κρυφά το λογισμικό εξόρυξης κρυπτονομισμάτων XMRig (Monero).
Απόκρυψη διακομιστών μέσω Blockchain Polygon
Από τον Μάιο του 2026, οι δημιουργοί του Phexia ενσωμάτωσαν την τεχνική EtherHiding, διαβάζοντας τη διεύθυνση του διακομιστή τους απευθείας από έξυπνα συμβόλαια (smart contracts) στο blockchain του Polygon. Με αυτόν τον τρόπο, ακόμη κι αν μια διεύθυνση domain μπλοκαριστεί, το κακόβουλο λογισμικό μπορεί να ενημερώσει τη διεύθυνση C2 μέσω μιας απλής συναλλαγής στο blockchain.
Μέτρα προστασίας
Οι ειδικοί συνιστούν στους χρήστες να μην επικοτέλλουν ποτέ εντολές από ιστοσελίδες στο Terminal. Σε περίπτωση μόλυνσης, απαιτείται απομόνωση της συσκευής, αφαίρεση των κακόβουλων αρχείων LaunchAgent, άμεση αλλαγή κωδικών πρόσβασης από καθαρή συσκευή και ανάκληση ενεργών συνεδριών.