Ексфільтрація даних — це крок, на якому дані, що мали залишитися на комп’ютері, опиняються деінде. MITRE ATT&CK, публічна база знань про поведінку зловмисників, яку підтримує MITRE, виділяє для неї окрему тактику, TA0010, і визначає її одним рядком: «The adversary is trying to steal data.» Усе, що відбувається раніше, від підробленого інсталятора до отруєної інструкції, наданої агенту ШІ, важить для жертви здебільшого саме через цей момент. Ця стаття пояснює, як відбувається ексфільтрація на Mac, які техніки каталогізує MITRE, чому її важко помітити і які мережеві сигнали все ж її видають.
Зібрати, підготувати, надіслати
Ексфільтрація рідко буває однією дією. MITRE описує послідовність. Спершу дані збираються, наприклад зі Зв’язки ключів (Keychain), яка, як зазначає техніка ATT&CK T1555.001, «зберігає імена облікових записів, паролі, приватні ключі, сертифікати, чутливі дані застосунків, платіжні дані та захищені нотатки». Потім їх часто складають у локальній теці (T1074.001) і стискають або шифрують (T1560); за словами MITRE, «противник може стиснути та/або зашифрувати зібрані дані перед ексфільтрацією», що зменшує їхній розмір і ускладнює перевірку на виході. Лише тоді вони надсилаються. Кожен крок відбувається на Mac, але тільки останній має перетнути мережу, і саме тому в мережі ексфільтрацію видно найстабільніше.
Техніки, які перелічує MITRE ATT&CK
Тактика Exfiltration наразі містить дев’ять технік. Вони відрізняються переважно використаним каналом, і кілька з них мають підтехніки для конкретних адрес.
| ID | Техніка | Що це означає на практиці |
|---|---|---|
| T1041 | Exfiltration Over C2 Channel | Дані виходять тим самим з’єднанням, яким зловмисник уже надсилає команди. |
| T1048 | Exfiltration Over Alternative Protocol | Інший протокол чи адреса, ніж командний канал, із шифруванням чи без нього (від T1048.001 до .003). |
| T1567 | Exfiltration Over Web Service | Легітимний сервіс: репозиторій коду (.001), хмарне сховище (.002), сайт для зберігання тексту (.003), вебхук (.004). |
| T1029 | Scheduled Transfer | Надсилання у визначений час, щоб злитися зі звичайною активністю. |
| T1030 | Data Transfer Size Limits | Надсилання фрагментами фіксованого розміру, щоб залишатися нижче порогів сповіщення. |
| T1020 | Automated Exfiltration | Автоматичне надсилання одразу після збору даних; T1020.001 охоплює дублювання трафіку. |
| T1011 | Exfiltration Over Other Network Medium | Інше середовище, ніж основне з’єднання, як-от Bluetooth (T1011.001). |
| T1052 | Exfiltration Over Physical Medium | Знімні носії, як-от USB-накопичувач (T1052.001). |
| T1537 | Transfer Data to Cloud Account | Переміщення даних до іншого облікового запису в тому самому хмарному сервісі. |
Інфостілери: ексфільтрація як єдина мета
На особистих Mac найпоширеніші програми, побудовані навколо ексфільтрації, — інфостілери: програмне забезпечення, що збирає паролі, дані браузера й файли та надсилає їх на сервер. Запис MITRE про Cuckoo Stealer (S1153), програму для macOS з ознаками шпигунського ПЗ та інфостілера, про яку повідомили Kandji і SentinelOne 2024 року, показує цю схему крок за кроком. Вона збирає закладки, cookies та історію Safari (T1217), копіює файли Keychain (T1555.001), запитує пароль користувача через підроблені системні діалоги (T1056.002), робить знімки екрана вбудованою командою screencapture (T1113), складає результати локально (T1074.001) і зрештою надсилає системну інформацію та перехоплені паролі на свій командний сервер (T1041). MITRE наводить ту саму техніку ексфільтрації для інших родин під macOS, зокрема MacMa, XCSSET, ThiefQuest і LightSpy. Наша стаття про Atomic Stealer докладніше розглядає ще один стілер для macOS.
Останній крок — єдиний, якому потрібен інтернет, і зазвичай він триває кілька секунд. На той час, коли щось інше на Mac виглядає незвично, дані вже зникли, тому виявлення має стежити за вихідними з’єднаннями, а не чекати на видимі симптоми.
Чому її важко помітити
Опис MITRE для Exfiltration Over Web Service (T1567) добре пояснює складність. Популярні сервіси дають прикриття, бо «хости в мережі вже взаємодіють із ними до компрометації», «правила фаєрвола, що дозволяють трафік до цих сервісів, також можуть уже існувати», а ці провайдери «зазвичай використовують шифрування SSL/TLS, що дає противникам додатковий рівень захисту». Вивантаження до відомого хмарного сховища через HTTPS ззовні виглядає як резервне копіювання. Заплановані передачі (T1029) і фрагменти фіксованого розміру (T1030) йдуть далі й навмисно імітують ритм звичайного трафіку. Фаєрвол, що фільтрує лише вхідні з’єднання, як вбудований у macOS, тут не відіграє жодної ролі, адже кожен наведений вище канал ексфільтрації починається на Mac.
Агенти ШІ: новий шлях до того самого результату
Агенти ШІ на Mac, як-от асистенти для програмування, що читають файли, виконують команди й відкривають з’єднання, додають шлях, який не потребує встановленого стілера. OWASP Gen AI Security Project визначає непряму prompt injection як те, що відбувається, коли модель «приймає вхідні дані із зовнішніх джерел, як-от вебсайтів чи файлів», і наводить сценарій ексфільтрації: користувач просить модель підсумувати вебсторінку, прихований текст якої змушує її вставити посилання на зображення із зовнішньою адресою, тож завантаження зображення передає приватну розмову на цю адресу. Агент, який також може виконати curl чи викликати вебхук, перетворює той самий прийом на вивантаження файлу. У термінах ATT&CK результат і далі T1567 або T1048; змінилася лише відправна точка — від інсталятора до речення, яке прочитав агент. Як FireAI розпізнає самих агентів, розглянуто в окремій статті.
Сигнали, що її видають
Рекомендації MITRE щодо виявлення цих технік повертаються до тих самих мережевих ознак. Для T1041 вони вказують на процеси, що зазвичай генерують мало трафіку, але раптом надсилають великий обсяг, і на зашифровані з’єднання «з рідкісними зовнішніми адресами або з аномальним співвідношенням байтів». Для T1567 додаються процеси, які «зазвичай не ініціюють мережевої взаємодії, але раптом відкривають вихідні з’єднання HTTPS з високим співвідношенням вихідних даних до вхідних». Для T1030 і T1029 пропонується шукати однакові розміри даних через рівні інтервали та завдання LaunchAgent або launchd, що надсилають дані на ту саму адресу за розкладом. У застосуванні до одного Mac більшість цього охоплюють чотири питання: чи звертається ця програма до адреси, якою ніколи раніше не користувалася; чи надсилає вона значно більше, ніж зазвичай; чи надсилає вона значно більше, ніж отримує; і чи робить вона це за розкладом.
Ручна перевірка за допомогою nettop
macOS містить nettop, що звітує про використання мережі кожним процесом. З -P він показує один рядок на процес, -L 1 виводить одну вибірку у форматі з комами як роздільниками, а -J обмежує стовпці. Лічильники є сумами від запуску кожного процесу, тож один запуск показує, хто вивантажив найбільше, а не хто вивантажує зараз; запустіть його двічі з інтервалом у хвилину й порівняйте, щоб побачити зміну.
# bytes received and sent by each process, one sample
nettop -P -L 1 -J bytes_in,bytes_out
,bytes_in,bytes_out,
launchd.1,0,0,
syslogd.634,0,422,
apsd.640,5506,23880,
...Процес, у якого надіслані байти значно перевищують отримані і від якого ви не очікували б жодного вивантаження, варто розглянути ближче. Обмеження очевидні: nettop не показує, куди пішли дані, не зберігає історії й не сповістить вас, коли ви не дивитеся.
Що позначає FireAI
FireAI, фаєрвол від HisnLabs, що працює на пристрої, постійно вимірює два з цих питань і запитує про третє. Щосекунди він підсумовує, скільки даних Mac надсилає до кожної країни. Країну позначено як сплеск вивантаження, коли вона отримала щонайменше 5 MB за останні 10 секунд і щонайменше вдесятеро більше від свого звичного обсягу: вона переміщується на верх списку «Мапи світу» червоним кольором зі швидкістю вивантаження, значок у рядку меню показує стрілку й код країни, а головний екран змінює стан. Сплеск залишається позначеним протягом хвилини після завершення, а вивантаження, що просто триває, як-от резервне копіювання, через кілька хвилин стає новою нормою. FireAI не блокує сплеск самостійно; він показує, які програми й адреси за ним стоять, щоб ви могли вирішити.
Для агентів ШІ «Профіль агента» протягом трьох днів вивчає, куди зазвичай підключається кожен із 19 агентів, яких розпізнає FireAI. Після цього перша за весь час адреса позначається для перегляду, так само як і година, за яку агент вивантажив щонайменше вчетверо більше, ніж за свою найактивнішу годину досі, і ніколи не менше ніж 25 MB. У режимі безпеки «Профіль агента» нова адреса блокується, доки ви її не дозволите. Поза агентами запит про з’єднання охоплює нові адреси для кожної програми: коли програма вперше намагається звернутися кудись без правила, FireAI призупиняє це з’єднання й запитує вас. Усе це працює лише з метаданими, іменами хостів і кількістю байтів; FireAI не читає вмісту з’єднань.
Короткий контрольний список
- Знайте, від яких програм на вашому Mac очікується вивантаження, як-от резервне копіювання, синхронізація й відеодзвінки, а вивантаження від інших розглядайте як підставу для перевірки.
- Стежте за адресами, до яких звертаються вперше, особливо для інструментів командного рядка й агентів ШІ.
- Порівнюйте надіслані й отримані байти для кожного процесу; високе співвідношення вихідних до вхідних даних заслуговує на увагу.
- Переглядайте LaunchAgents і об’єкти входу на наявність завдань, яких ви не впізнаєте, адже запланованим передачам потрібне щось, що їх планує.
- Надавайте агентам ШІ лише ті теки й токени, які їм потрібні, а їхні мережеві адреси обмежуйте відомим переліком.
Яке місце тут посідають FireAI та HisnLabs
Щоб вивести дані, потрібно пройти через мережу, і саме там стежить FireAI: нові адреси, обсяги вивантаження за країнами й за агентами, лише на вашому Mac. Спробуйте безкоштовно протягом 17 днів.
FireAI — це власний продукт HisnLabs: ШІ-фаєрвол, який працює безпосередньо на вашому Mac. Він показує простою мовою кожне з’єднання, яке встановлюють ваші застосунки, і дає вам вирішувати, що покидає ваш Mac, — його ШІ працює локально, тож ваш трафік ніколи не надсилається ні нам, ні будь-кому іншому. Команда дослідників безпеки HisnLabs — саме вона підтримує точність цих рішень: каталогізує, які домени є звичайною телеметрією, а які — справжнім сервісом, відстежує країну та мережу за з’єднанням і навчає локальну модель (функцію FireAI Pilot) на реальних шаблонах трафіку — і нічого з цього не покидає ваш Mac.
Ви можете почитати про технічні рішення, що лежать в його основі, або спробувати FireAI протягом 17 днів на сторінці FireAI від HisnLabs.