Dataexfiltrering är det steg där data som borde ha stannat på en dator hamnar någon annanstans. MITRE ATT&CK, den öppna kunskapsbasen över angripares beteende som förvaltas av MITRE, ger steget en egen taktik, TA0010, och definierar den på en rad: ”The adversary is trying to steal data.” Allt som kommer före, från ett falskt installationsprogram till en förgiftad instruktion till en AI-agent, spelar roll för offret främst på grund av detta ögonblick. Den här artikeln förklarar hur exfiltrering fungerar på en Mac, vilka tekniker MITRE katalogiserar, varför det är svårt att upptäcka och vilka nätverkssignaler som ändå avslöjar det.
Samla in, mellanlagra, skicka
Exfiltrering är sällan en enda handling. MITRE beskriver en sekvens. Data samlas först in, till exempel från Nyckelringen, som enligt ATT&CK-tekniken T1555.001 ”lagrar kontonamn, lösenord, privata nycklar, certifikat, känsliga programdata, betalningsdata och säkra anteckningar”. Därefter mellanlagras den ofta i en lokal mapp (T1074.001) och komprimeras eller krypteras (T1560); med MITRE:s ord kan en angripare ”komprimera och/eller kryptera insamlad data före exfiltrering”, vilket gör den mindre att skicka och svårare att granska på vägen ut. Först då skickas den. Varje steg sker på Macen, men bara det sista måste passera nätverket, och det är därför exfiltrering syns mest konsekvent i nätverket.
Teknikerna som MITRE ATT&CK listar
Taktiken Exfiltration innehåller för närvarande nio tekniker. De skiljer sig främst i vilken kanal som används, och flera har undertekniker för specifika destinationer.
| ID | Teknik | Vad det innebär i praktiken |
|---|---|---|
| T1041 | Exfiltration Over C2 Channel | Data lämnar via samma anslutning som angriparen redan använder för att skicka kommandon. |
| T1048 | Exfiltration Over Alternative Protocol | Ett annat protokoll eller en annan destination än kommandokanalen, krypterad eller inte (T1048.001 till .003). |
| T1567 | Exfiltration Over Web Service | En legitim tjänst: kodarkiv (.001), molnlagring (.002), webbplats för textlagring (.003), webhook (.004). |
| T1029 | Scheduled Transfer | Sändning vid bestämda tider för att smälta in i normal aktivitet. |
| T1030 | Data Transfer Size Limits | Sändning i delar av fast storlek för att hålla sig under larmtrösklar. |
| T1020 | Automated Exfiltration | Automatisk sändning så snart data har samlats in; T1020.001 omfattar duplicering av trafik. |
| T1011 | Exfiltration Over Other Network Medium | Ett annat medium än huvudanslutningen, till exempel Bluetooth (T1011.001). |
| T1052 | Exfiltration Over Physical Medium | Flyttbar lagring, till exempel ett USB-minne (T1052.001). |
| T1537 | Transfer Data to Cloud Account | Flytt av data till ett annat konto på samma molntjänst. |
Infostealers: exfiltrering som hela syftet
På privata Mac-datorer är de vanligaste programmen som är byggda kring exfiltrering infostealers: programvara som samlar in lösenord, webbläsardata och filer och skickar dem till en server. MITRE:s post om Cuckoo Stealer (S1153), ett macOS-program med egenskaper av både spionprogram och infostealer som rapporterades av Kandji och SentinelOne 2024, visar mönstret steg för steg. Det samlar in bokmärken, cookies och historik från Safari (T1217), kopierar filer från Nyckelringen (T1555.001), ber om användarens lösenord via förfalskade systemdialoger (T1056.002), tar skärmbilder med det inbyggda kommandot screencapture (T1113), mellanlagrar resultaten lokalt (T1074.001) och skickar slutligen systeminformation och insamlade lösenord till sin kommandoserver (T1041). MITRE anger samma exfiltreringsteknik för andra macOS-familjer, bland dem MacMa, XCSSET, ThiefQuest och LightSpy. Vår artikel om Atomic Stealer följer en annan macOS-stealer mer i detalj.
Det sista steget är det enda som kräver internet, och det tar vanligtvis några sekunder. När något annat på Macen ser ovanligt ut har data redan försvunnit, och därför måste detektionen bevaka utgående anslutningar i stället för att vänta på synliga symtom.
Varför det är svårt att märka
MITRE:s beskrivning av Exfiltration Over Web Service (T1567) förklarar svårigheten väl. Populära tjänster ger skydd eftersom ”värdar i ett nätverk redan kommunicerar med dem före intrånget”, ”brandväggsregler kan också redan finnas som tillåter trafik till dessa tjänster”, och dessa leverantörer ”använder vanligtvis SSL/TLS-kryptering, vilket ger angripare ytterligare skydd”. En uppladdning till en välkänd molnlagringstjänst över HTTPS ser utifrån ut som en säkerhetskopiering. Schemalagda överföringar (T1029) och delar av fast storlek (T1030) går längre och efterliknar medvetet rytmen i vanlig trafik. En brandvägg som bara filtrerar inkommande anslutningar, som den inbyggda i macOS, spelar ingen roll här, eftersom varje exfiltreringskanal ovan börjar på Macen.
AI-agenter: en ny väg till samma resultat
AI-agenter på en Mac, som kodassistenter som läser filer, kör kommandon och öppnar anslutningar, lägger till en väg som inte kräver någon installerad stealer. OWASP Gen AI Security Project definierar indirekt promptinjektion som det som sker när en modell ”tar emot indata från externa källor, som webbplatser eller filer”, och ger ett exfiltreringsscenario: en användare ber en modell sammanfatta en webbsida vars dolda instruktioner får den att infoga en bildlänk till en extern adress, så att inläsningen av bilden för den privata konversationen till den adressen. En agent som dessutom kan köra curl eller anropa en webhook gör samma knep till en filuppladdning. I ATT&CK-termer är resultatet fortfarande T1567 eller T1048; bara utgångspunkten har ändrats, från ett installationsprogram till en mening som agenten läste. Hur FireAI känner igen själva agenterna behandlas i en separat artikel.
Signalerna som avslöjar det
MITRE:s vägledning för detektion av dessa tekniker återkommer till samma nätverkstecken. För T1041 pekar den på processer som vanligtvis genererar lite trafik men plötsligt skickar en stor mängd, och på krypterade anslutningar ”till sällsynta externa destinationer eller med onormala byteförhållanden”. För T1567 lägger den till processer som ”normalt inte initierar nätverkskommunikation men plötsligt öppnar utgående HTTPS-anslutningar med högt förhållande mellan utgående och inkommande data”. För T1030 och T1029 föreslår den att man letar efter enhetliga storlekar på nyttolasten med jämna mellanrum och efter LaunchAgent- eller launchd-jobb som skickar till samma destination enligt schema. Översatt till en enskild Mac täcker fyra frågor det mesta: pratar den här appen med en destination den aldrig har använt förut; skickar den betydligt mer än vanligt; skickar den mycket mer än den tar emot; och gör den det enligt klockan?
Kontrollera för hand med nettop
macOS innehåller nettop, som rapporterar nätverksanvändning per process. Med -P visas en rad per process, -L 1 skriver ut ett enda urval i kommaseparerad form och -J begränsar kolumnerna. Värdena är totaler sedan respektive process startade, så en enda körning visar vem som har laddat upp mest, inte vem som laddar upp just nu; kör den två gånger med en minuts mellanrum och jämför för att se förändringen.
# bytes received and sent by each process, one sample
nettop -P -L 1 -J bytes_in,bytes_out
,bytes_in,bytes_out,
launchd.1,0,0,
syslogd.634,0,422,
apsd.640,5506,23880,
...En process vars skickade byte är betydligt fler än de mottagna, och som du inte förväntar dig ska ladda upp något, är värd en närmare titt. Begränsningarna är tydliga: nettop visar inte vart data tog vägen, sparar ingen historik och varnar dig inte när du inte tittar.
Vad FireAI flaggar
FireAI, brandväggen som HisnLabs utvecklar och som körs direkt på datorn, mäter två av dessa frågor kontinuerligt och frågar om en tredje. Varje sekund summerar den hur mycket data Macen skickar till varje land. Ett land flaggas som en uppladdningstopp när det har tagit emot minst 5 MB under de senaste 10 sekunderna och minst tio gånger sin vanliga mängd: det flyttas överst i listan på Världskartan i rött med sin uppladdningshastighet, menyradssymbolen visar en pil och landskoden, och startskärmen byter läge. En topp förblir flaggad i en minut efter att den har upphört, och en uppladdning som bara fortsätter, som en säkerhetskopiering, blir det nya normala efter ett par minuter. FireAI blockerar inte en topp på egen hand; det visar vilka appar och destinationer som ligger bakom så att du kan bestämma.
För AI-agenter lär sig Agent profile under tre dagar vart var och en av de 19 agenter som FireAI känner igen normalt ansluter. Därefter flaggas en allra första destination för granskning, liksom en timme då agenten laddade upp minst fyra gånger så mycket som under sin hittills mest intensiva timme och aldrig mindre än 25 MB. I säkerhetsläget Agent profile blockeras en ny destination tills du tillåter den. Utanför agenterna täcker anslutningsfrågan nya destinationer för varje app: första gången en app försöker nå någonstans utan regel pausar FireAI anslutningen och frågar. Allt detta bygger enbart på metadata, värdnamn och antal byte; FireAI läser inte innehållet i anslutningar.
En kort checklista
- Känn till vilka appar på din Mac som förväntas ladda upp, till exempel appar för säkerhetskopiering, synkronisering och videosamtal, och behandla uppladdningar från andra som frågetecken.
- Håll utkik efter destinationer som används för första gången, särskilt för kommandoradsverktyg och AI-agenter.
- Jämför skickade och mottagna byte per process; ett högt förhållande mellan utgående och inkommande trafik förtjänar en titt.
- Granska LaunchAgents och inloggningsobjekt efter jobb du inte känner igen, eftersom schemalagda överföringar kräver något som schemalägger dem.
- Ge AI-agenter bara de mappar och token de behöver, och håll deras nätverksdestinationer till en känd lista.
Var FireAI och HisnLabs kommer in
Exfiltrering måste passera nätverket, och det är där FireAI bevakar: nya destinationer, uppladdningar per land och per agent, enbart på din Mac. Prova gratis i 17 dagar.
FireAI är HisnLabs eget verktyg: en AI-brandvägg som körs direkt på din Mac. Den visar varje anslutning dina appar gör, på klarspråk, och låter dig avgöra vad som lämnar din Mac — AI:n körs lokalt, så din trafik skickas aldrig till oss eller någon annan. HisnLabs säkerhetsforskningsteam är de som håller de bedömningarna tillförlitliga: de katalogiserar vilka domäner som är vanlig telemetri och vilka som är en riktig tjänst, spårar land och nätverk bakom en anslutning och tränar den lokala modellen (FireAI Pilot-funktionen) på verkliga trafikmönster — utan att något av det lämnar din Mac.
Du kan läsa om de tekniska besluten bakom, eller prova FireAI i 17 dagar, på FireAI, från HisnLabs.