Η Microsoft έχει προειδοποιήσει ότι οι επιθέσεις κλοπής πληροφοριών “επεκτείνονται ραγδαία” πέρα από τα Windows, στοχεύοντας τα περιβάλλοντα Apple macOS, αξιοποιώντας γλώσσες πολλαπλών πλατφορμών όπως η Python και καταχρώμενες αξιόπιστες πλατφόρμες για διανομή σε μεγάλη κλίμακα.
Δείτε επίσης: PyPI: Ψεύτικα Python πακέτα spellchecker παρέδωσαν RAT malware
Η ομάδα Defender Security Research της τεχνολογικής εταιρείας παρατήρησε καμπάνιες infostealer που στοχεύουν το macOS, χρησιμοποιώντας τεχνικές social engineering όπως το ClickFix από τα τέλη του 2025 για να διανέμουν εγκαταστάτες εικόνας δίσκου (DMG) που αναπτύσσουν οικογένειες κακόβουλου λογισμικού όπως το Atomic macOS Stealer (AMOS), το MacSync και το DigitStealer.
Οι καμπάνιες χρησιμοποιούν τεχνικές όπως η εκτέλεση χωρίς αρχεία, οι εγγενείς βοηθητικές εφαρμογές macOS και η αυτοματοποίηση AppleScript για να διευκολύνουν την κλοπή δεδομένων, συμπεριλαμβανομένων των διαπιστευτηρίων του προγράμματος περιήγησης, των δεδομένων συνεδρίας, του iCloud Keychain και των μυστικών των προγραμματιστών.
Αυτές οι επιθέσεις συχνά ξεκινούν με μια κακόβουλη διαφήμιση, που συνήθως εξυπηρετείται μέσω του Google Ads, η οποία ανακατευθύνει τους χρήστες που αναζητούν εργαλεία όπως το DynamicLake και εργαλεία τεχνητής νοημοσύνης (AI) σε ψεύτικους ιστότοπους που χρησιμοποιούν δολώματα ClickFix, παραπλανώντας τους να μολύνουν τις δικές τους μηχανές με κακόβουλο λογισμικό.
Δείτε ακόμα: Κακόβουλο πακέτο PyPI μιμείται το SymPy και εγκαθιστά το XMRig Miner
Ένας τέτοιος stealer είναι ο PXA Stealer, που συνδέεται με απειλητικούς παράγοντες που μιλούν βιετναμέζικα, ικανός να συλλέγει διαπιστευτήρια σύνδεσης, οικονομικές πληροφορίες και δεδομένα προγράμματος περιήγησης. Η Microsoft εντόπισε δύο καμπάνιες PXA Stealer τον Οκτώβριο του 2025 και τον Δεκέμβριο του 2025 που χρησιμοποίησαν phishing emails για αρχική πρόσβαση.
Οι αλυσίδες επίθεσης περιλάμβαναν τη χρήση των κλειδιών Run του μητρώου ή προγραμματισμένων εργασιών για επιμονή και το Telegram για επικοινωνίες εντολών και ελέγχου και εξαγωγή δεδομένων.
Επιπλέον, κακόβουλοι παράγοντες έχουν παρατηρηθεί να χρησιμοποιούν δημοφιλείς εφαρμογές ανταλλαγής μηνυμάτων όπως το WhatsApp για να διανέμουν κακόβουλο λογισμικό όπως το Eternidade Stealer και να αποκτούν πρόσβαση σε οικονομικούς και κρυπτονομισματικούς λογαριασμούς. Οι λεπτομέρειες της καμπάνιας τεκμηριώθηκαν δημόσια από την LevelBlue/Trustwave τον Νοέμβριο του 2025.
Άλλες επιθέσεις που σχετίζονται με infostealers έχουν περιστραφεί γύρω από ψεύτικους επεξεργαστές PDF όπως το Crystal PDF, που διανέμονται μέσω κακόβουλων διαφημίσεων και δηλητηρίασης βελτιστοποίησης μηχανών αναζήτησης (SEO) μέσω του Google Ads για να αναπτύξουν έναν stealer που βασίζεται στα Windows που συλλέγει κρυφά cookies, δεδομένα συνεδρίας και κρυφές μνήμες διαπιστευτηρίων από τα προγράμματα περιήγησης Mozilla Firefox και Chrome.
Δείτε επίσης: Μολυσμένες Python βιβλιοθήκες σε μοντέλα Hugging Face
Για να αντιμετωπιστεί η απειλή που θέτουν οι infostealers, οι οργανισμοί συμβουλεύονται να εκπαιδεύουν τους χρήστες σχετικά με τις επιθέσεις social engineering όπως οι αλυσίδες ανακατεύθυνσης κακόβουλων διαφημίσεων, οι ψεύτικοι εγκαταστάτες και οι προτροπές αντιγραφής-επικόλλησης τύπου ClickFix. Συνιστάται επίσης να παρακολουθούνται ύποπτες δραστηριότητες στο Terminal και η πρόσβαση στο iCloud Keychain, καθώς και να επιθεωρείται η έξοδος δικτύου για αιτήματα POST προς νεοεγγεγραμμένους ή ύποπτους τομείς.
