Bilgi Güvenliği Uzmanları, MacOS'a Saldırmak İçin Tasarlanmış Bir Araç Seti Keşfetti

Bitdefender, karmaşık bir platformlar arası araç setinin parçası olduğunu söylediği bir dizi kötü amaçlı eser keşfetti, macOS cihazlarını hedefleyen bir tane dahil.

Bunu da yazdığımızı hatırlatayım Korsan Yazılım Mac os işletim sistemi Kötü Amaçlı Yazılımla birlikte gelir, ve aynı zamanda iOS ve macOS'taki güvenlik açığı, Siri Konuşmalarının Gizlice Dinlenmesine İzin Verdi.

Ayrıca medya şunu bildirdi: 0-gün MacOS'taki güvenlik açığından Hong Kong haber sitelerinin ziyaretçilerine saldırmak için yararlanıldı.

Analizi Bitdefender araştırmacılar çeşitli kötü amaçlı yazılım örneklerinin incelenmesine dayanmaktadır şuraya yüklendi: VirüsToplam isimsiz bir kurban tarafından. En eski örnek Nisan tarihlidir 18, 2023. Şu anda bu örneklerin güvenlik çözümleri tarafından hala zayıf bir şekilde tespit edildiği belirtiliyor ve “bunlardan herhangi biri hakkında çok az bilgi mevcuttur.”

Tespit edilen kötü amaçlı yazılımlardan ikisi Python'da yazılmış ve Windows'a saldırmak üzere tasarlanmış basit arka kapılardır., Linux ve macOS. Bu yükler topluca şu şekilde anılır: JokerCasus Bitdefender raporunda.

İlk kötü amaçlı yazılım paylaşılan.dat dosya, Hangi, piyasaya sürüldükten sonra, işletim sistemini kontrol eder (0 pencereler için, 1 macOS için, Ve 2 Linux için) ve saldırganlarla iletişime geçiyoruz’ Ek talimatlar için sunucu. Bunlar arasında olabilir: sistem hakkında bilgi toplama, komutları yürütmek, kurbanın makinesine dosya indirme ve çalıştırma, ve kapatıyorum.

MacOS cihazlarda, Sunucudan alınan base64 kodlu içerik /Users/Shared/AppleAccount.tgz dosyasına yazılır., daha sonra paketinden çıkarılır ve /Users/Shared/TempUser/AppleAccountAssistant.app uygulaması olarak başlatılır..

Linux ana bilgisayarlarında, süreç neredeyse aynı: Kötü amaçlı yazılım, /etc/os-release dosyasına erişerek dağıtımı kontrol eder, ve ardından C kodunu geçici bir tmp.c dosyasına yazar, Fedora'da cc komutları ve Debian'da gcc komutları kullanılarak /tmp/.ICE-unix/git dosyasında derlenir.

Uzmanlar bunu örnekler arasında yazıyor, "daha güçlü bir arka kapı" da bulundu – the sh.py dosya, sistem meta verilerini toplamak için kapsamlı yeteneklere sahip olan, dosyaları arama ve silme, operatörlerden alınan komutları ve dosyaları yürütmek, ve veri çalmak.

Başka bir kötü amaçlı yazılım, adı verilen bir FAT ikilisidir. “xcc” Swift'de yazılmış ve macOS Monterey için tasarlanmıştır (versiyon 12) ve daha yeni. Dosya iki x86 Intel ve ARM M1 mimarisi için iki Mach-O dosyası içeriyor.

Ana amacı, potansiyel olarak casus yazılım bileşenini kullanmadan önce izinleri kontrol etmektir. (muhtemelen ekran görüntüsü almak için), ancak casus yazılım bileşeninin kendisi dahil değildir. Bu da bizi bu dosyaların daha karmaşık bir saldırının parçası olduğuna inandırdı, ve araştırdığımız sistemde bazı dosyaların eksik olduğu.araştırmacılar yazıyor.

Uzmanlar, dosyanın içeriğinde görülen /Users/joker/Downloads/Spy/XProtectCheck/ yoluna dayanarak xcc'nin bir tür casus yazılımla ilişkili olduğuna inanıyor, ve Disk Erişimi gibi izinleri kontrol ettiği için, Ekran Kaydı ve erişilebilirlik.

Tespit edilen kötü amaçlı yazılımın arkasında tam olarak kimin olduğu hala belli değil, Çünkü ilk enfeksiyonun vektörü bile bilinmiyor. Burada büyük olasılıkla sosyal mühendislik veya hedef odaklı kimlik avının kullanıldığı varsayılıyor.