REX Cyber · Veille du 2026-09-16. Faits attribués à unit42.paloaltonetworks.com.
AMOS stealer a été distribué via campagnes ClickFix, publicités malveillantes et sites prétendant offrir des versions crackées de logiciels protégés.
Ce qui s’est passé
Les auteurs de unit42.paloaltonetworks.com rapportent les constatations suivantes :
- AMOS stealer a été distribué via campagnes ClickFix, publicités malveillantes et sites prétendant offrir des versions crackées de logiciels protégés.
- Après avoir entré le mot‑de‑passe administrateur, le processus Terminal a lancé l’infection.
- Les requêtes HTTP POST vers le serveur C2 161.35.146[.]120 ont été envoyées après l’infection.
Acteurs et cibles
Acteurs rapportés
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Cibles rapportées
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
MITRE ATT&CK
Techniques directement associées au rapport
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1547.011 |
Plist Modification | Persistence, Privilege Escalation | 50 | Révoquée dans le catalogue officiel ; remplacée par T1647 — Plist File Modification |
Le lien au rapport est explicite dans les données de renseignement. Il ne démontre pas, à lui seul, chaque comportement décrit par la fiche ATT&CK.
Répertoire associé aux acteurs et aux malwares
Les techniques suivantes sont liées à une entité présente dans le rapport. Cette association décrit son répertoire connu ; elle ne prouve pas leur emploi dans cet incident.
AMOS
| Technique source | Nom | Tactiques | Confiance source | Statut dans ATT&CK |
|---|---|---|---|---|
T1094 |
Custom Command and Control Protocol | Command and Control | 50 | Révoquée dans le catalogue officiel ; remplacée par T1095 — Non-Application Layer Protocol |
T1547.011 |
Plist Modification | Persistence, Privilege Escalation | 50 | Révoquée dans le catalogue officiel ; remplacée par T1647 — Plist File Modification |
T1574.002 |
DLL Side-Loading | Execution, Stealth | 50 | Révoquée dans le catalogue officiel ; remplacée par T1574.001 — DLL |
Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.
Les libellés, tactiques et statuts sont complétés par le catalogue officiel ATT&CK consulté le 2026-10-10T08:24:44Z. Un remplacement officiel conserve l’identifiant d’origine de la source et ne crée pas une nouvelle preuve d’incident.
Entités et contexte du rapport
- Malware : AMOS ; alias : Atomic macOS Stealer, osx.amos ; is_family : True ; malware_types : bot ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.
Relations entre les entités nommées
| Origine | Relation déclarée | Destination | Confiance / statut |
|---|---|---|---|
| AMOS | utilise | T1547.011 | 50/100 |
IOC et observables pour la recherche
17 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.
Statuts de validité calculés au 2026-10-10T08:24:42+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.
La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.
| Type | Valeur neutralisée | Qualification | Confiance | Usage / validité |
|---|---|---|---|---|
| domain | ferncore13[.]com |
Indicateur | 50 | Dans la période de validité déclarée |
| domain | getmacouscloud[.]com |
Indicateur | 50 | Dans la période de validité déclarée |
| domain | grove-89[.]com |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | 121cc0f6c933f928273a8d259262e3bd |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | 3106cffb9da7380fcc0237e8fde0efa0 |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | 65334575232f8d94fde18e89af393212 |
Indicateur | 50 | Dans la période de validité déclarée |
| md5 | e634d35d6ae98935c51de5a23a92e965 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | 2849fe272d6edfdf75c1169102ea7a33d224eb7b |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | 2c78ad15bec38dd235f1a0f91a8ec71ecdf2701b |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | 65b02a832483a5fa367d96c36c56372722e752cc |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | 739afb0e43501a8aa6e4322fafb6841a880f0271 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 4504006d1911057be42435d4625f03d83c4d0b7b6898d14beb9cdeba6cf667b9 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 608e70d1338612686917ee5cd300ff7ed8e318dfd787a50257f92142e99bd688 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 6bfcdb4920383375b7e519918df7eb4db751b974b5571a15ce66b82478012620 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 71781ad8adefb499aee9bcbe1a166e69ccc37a47066682f617d65c76d8cde88c |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 7ea6ff8b12c59aaae1ab6f4f5a57045dad5a8127954f3ffd3d1c154d40d7ca3a |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | a598fcdcd49247312861ff90c16cb4a5d49fede6072e30e7416dd276668fa2a9 |
Indicateur | 50 | Dans la période de validité déclarée |
Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)
Comment utiliser les exports
Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.
Couverture et provenance
Rapport publié le 2026-09-16T12:36:20.282Z ; 36 objets publics et 52 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.
Texte de la source publique lu : extrait de 9865 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.
- Titre source : Atomic macOS (AMOS) Stealer Activity
- Types de rapport : threat-report
- Labels : amos, atomic macos stealer, clickfix, macos
- Confiance du rapport : 50/100
- Création déclarée par la source : 2026-09-16T12:36:20.282Z
- Modification déclarée par la source : 2026-09-26T12:13:38.740Z
- Import de l’objet de renseignement : 2026-09-26T12:13:36.311Z
- Mise à jour de l’objet de renseignement : 2026-09-26T12:13:38.740Z
Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.
Source
Atomic macOS (AMOS) Stealer Activity — unit42.paloaltonetworks.com.