Dataeksfiltrering på Mac: hvordan det skjer og hvordan det oppdages

Dataeksfiltrering er steget der data som skulle ha blitt på en datamaskin, havner et annet sted. MITRE ATT&CK, den offentlige kunnskapsbasen over angriperatferd som vedlikeholdes av MITRE, gir dette en egen taktikk, TA0010, og definerer den på én linje: «The adversary is trying to steal data.» Alt som kommer før, fra et falskt installasjonsprogram til en forgiftet instruksjon gitt til en KI-agent, betyr mest for offeret på grunn av dette øyeblikket. Denne artikkelen forklarer hvordan eksfiltrering fungerer på en Mac, hvilke teknikker MITRE katalogiserer, hvorfor det er vanskelig å oppdage, og hvilke nettverkssignaler som likevel avslører det.

Samle inn, mellomlagre, sende

Eksfiltrering er sjelden én enkelt handling. MITRE beskriver en sekvens. Data samles først inn, for eksempel fra nøkkelringen, som ifølge ATT&CK-teknikken T1555.001 «stores account names, passwords, private keys, certificates, sensitive application data, payment data, and secure notes.» Deretter mellomlagres de ofte i en lokal mappe (T1074.001) og komprimeres eller krypteres (T1560); med MITREs ord: «an adversary may compress and/or encrypt data that is collected prior to exfiltration», noe som gjør dataene mindre å sende og vanskeligere å inspisere på vei ut. Først da sendes de. Hvert steg skjer på Mac-en, men bare det siste må krysse nettverket, og derfor er det i nettverket eksfiltrering er mest konsekvent synlig.

Teknikkene MITRE ATT&CK oppgir

Taktikken Exfiltration inneholder for tiden ni teknikker. De skiller seg hovedsakelig i hvilken kanal som brukes, og flere har underteknikker for bestemte destinasjoner.

Infotyver: eksfiltrering som hele formålet

På personlige Mac-maskiner er de vanligste programmene bygget rundt eksfiltrering infotyver: programvare som samler inn passord, nettleserdata og filer og sender dem til en server. MITREs oppføring for Cuckoo Stealer (S1153), et macOS-program med kjennetegn på både spionprogram og infotyv, rapportert av Kandji og SentinelOne i 2024, viser mønsteret steg for steg. Det samler inn bokmerker, informasjonskapsler og historikk fra Safari (T1217), kopierer nøkkelringfiler (T1555.001), ber om brukerens passord gjennom forfalskede systemdialoger (T1056.002), tar skjermbilder med den innebygde kommandoen screencapture (T1113), mellomlagrer resultatene lokalt (T1074.001) og sender til slutt systeminformasjon og innhentede passord til kommandoserveren (T1041). MITRE oppgir den samme eksfiltreringsteknikken for andre macOS-familier, blant dem MacMa, XCSSET, ThiefQuest og LightSpy. Vår artikkel om Atomic Stealer følger en annen macOS-tyv mer i detalj.

Det siste steget er det eneste som krever internett, og det tar vanligvis noen få sekunder. Når noe annet på Mac-en ser uvanlig ut, er dataene allerede borte, og derfor må deteksjon følge utgående tilkoblinger i stedet for å vente på synlige symptomer.

Hvorfor det er vanskelig å legge merke til

MITREs beskrivelse av Exfiltration Over Web Service (T1567) forklarer vanskeligheten godt. Populære tjenester gir dekning fordi «hosts within a network are already communicating with them prior to compromise», «firewall rules may also already exist to permit traffic to these services», og disse leverandørene «commonly use SSL/TLS encryption, giving adversaries an added level of protection.» En opplasting til en kjent skylagringstjeneste over HTTPS ser utenfra ut som en sikkerhetskopi. Planlagte overføringer (T1029) og biter av fast størrelse (T1030) går lenger og etterligner bevisst rytmen i vanlig trafikk. En brannmur som bare filtrerer innkommende tilkoblinger, slik den innebygde i macOS gjør, spiller ingen rolle her, siden alle eksfiltreringskanalene ovenfor starter på Mac-en.

KI-agenter: en ny vei til samme resultat

KI-agenter på en Mac, som kodeassistenter som leser filer, kjører kommandoer og åpner tilkoblinger, legger til en vei som ikke krever noen installert tyv. OWASP Gen AI Security Project definerer indirekte promptinjeksjon som det som skjer når en modell «accepts input from external sources, such as websites or files», og gir et eksfiltreringsscenario: En bruker ber en modell om å oppsummere en nettside med skjulte instruksjoner som får den til å sette inn en bildelenke til en ekstern adresse, slik at innlastingen av bildet fører den private samtalen til den adressen. En agent som også kan kjøre curl eller kalle en webhook, gjør det samme trikset om til en filopplasting. I ATT&CK-termer er resultatet fortsatt T1567 eller T1048; bare utgangspunktet har endret seg, fra et installasjonsprogram til en setning agenten leste. Hvordan FireAI gjenkjenner selve agentene, dekkes i en egen artikkel.

Signalene som avslører det

MITREs veiledning for deteksjon av disse teknikkene vender tilbake til de samme nettverkstegnene. For T1041 peker den på prosesser som vanligvis genererer lite trafikk, men plutselig sender et stort volum, og på krypterte tilkoblinger «to rare external destinations or with abnormal byte ratios.» For T1567 legger den til prosesser som «normally do not initiate network communications suddenly making outbound HTTPS connections with high outbound-to-inbound data ratios.» For T1030 og T1029 foreslår den å se etter ensartede datastørrelser med jevne mellomrom og etter LaunchAgent- eller launchd-jobber som sender til samme destinasjon etter en tidsplan. Overført til én enkelt Mac dekker fire spørsmål det meste: om denne appen kommuniserer med en destinasjon den aldri har brukt før, om den sender langt mer enn den pleier, om den sender mye mer enn den mottar, og om den gjør det etter klokka.

Manuell kontroll med nettop

macOS inneholder nettop, som rapporterer nettverksbruk per prosess. Med -P vises én linje per prosess, -L 1 skriver ut ett enkelt utvalg i kommaseparert form, og -J begrenser kolonnene. Tallene er totaler siden hver prosess startet, så én kjøring forteller deg hvem som har lastet opp mest, ikke hvem som laster opp akkurat nå; kjør kommandoen to ganger med ett minutts mellomrom og sammenlign for å se endringen.

# bytes received and sent by each process, one sample
$ nettop -P -L 1 -J bytes_in,bytes_out
,bytes_in,bytes_out,
launchd.1,0,0,
syslogd.634,0,422,
apsd.640,5506,23880,
...

En prosess som har sendt langt flere byte enn den har mottatt, og som du ikke ville forvente skulle laste opp noe, er verdt å se nærmere på. Begrensningene er tydelige: nettop forteller ikke hvor dataene gikk, lagrer ingen historikk og varsler deg ikke mens du ikke ser.

Hva FireAI flagger

FireAI, brannmuren på enheten som HisnLabs lager, måler to av disse spørsmålene kontinuerlig og spør om et tredje. Hvert sekund summerer den hvor mye data Mac-en sender til hvert land. Et land flagges som en opplastingstopp når det har mottatt minst 5 MB de siste 10 sekundene og minst ti ganger den vanlige mengden: Det flyttes øverst i listen i Verdenskart, i rødt med opplastingshastigheten, ikonet i menylinjen viser en pil og landskoden, og Hjem endrer tilstand. En topp forblir flagget i ett minutt etter at den er over, og en opplasting som bare fortsetter, for eksempel en sikkerhetskopi, blir det nye normale etter et par minutter. FireAI blokkerer ikke en topp på egen hånd; den viser hvilke apper og destinasjoner som står bak, slik at du kan avgjøre.

For KI-agenter lærer Agentprofil i løpet av tre dager hvor hver av de 19 agentene FireAI gjenkjenner, vanligvis kobler til. Etter det flagges en destinasjon som aldri er brukt før, for gjennomgang, og det samme gjelder en time der agenten lastet opp minst fire ganger så mye som i sin travleste time så langt, og aldri mindre enn 25 MB. I sikkerhetsmodusen Agentprofil blokkeres en ny destinasjon til du tillater den. Utenfor agentene dekker tilkoblingsvarselet nye destinasjoner for alle apper: Første gang en app prøver å nå et sted uten regel, setter FireAI tilkoblingen på pause og spør. Alt dette fungerer bare med metadata, vertsnavn og antall byte; FireAI leser ikke innholdet i tilkoblinger.

En kort sjekkliste

• Vit hvilke apper på Mac-en som forventes å laste opp, som apper for sikkerhetskopi, synkronisering og videosamtaler, og behandle opplastinger fra andre som spørsmål som må besvares.
• Følg med på destinasjoner som brukes for første gang, særlig for kommandolinjeverktøy og KI-agenter.
• Sammenlign sendte og mottatte byte per prosess; et høyt forhold mellom utgående og innkommende trafikk fortjener en titt.
• Gå gjennom LaunchAgents og påloggingsobjekter for jobber du ikke kjenner igjen, siden planlagte overføringer trenger noe som planlegger dem.
• Gi KI-agenter bare mappene og tokenene de trenger, og hold nettverksdestinasjonene deres til en kjent liste.

Hvor FireAI og HisnLabs kommer inn

Eksfiltrering må krysse nettverket, og det er der FireAI følger med: nye destinasjoner og opplastinger per land og per agent, bare på din Mac. Prøv det gratis i 17 dager.

FireAI er HisnLabs’ eget produkt: en KI-brannmur som kjører direkte på Macen. Den viser hver tilkobling appene dine gjør, i klart språk, og lar deg bestemme hva som forlater Macen din — KI-en kjører lokalt, så trafikken din sendes aldri til oss eller noen andre. HisnLabs’ sikkerhetsforskningsteam er de som holder disse vurderingene pålitelige: de katalogiserer hvilke domener som er vanlig telemetri og hvilke som er en ekte tjeneste, sporer landet og nettverket bak en tilkobling, og trener den lokale modellen (FireAI Pilot-funksjonen) på ekte trafikkmønstre — uten at noe av det forlater Macen din.

Du kan lese om de tekniske valgene bak, eller prøve FireAI i 17 dager, på FireAI, fra HisnLabs.