Nord-Koreas BlueNoroff APT debuterer "Dumbed Down" MacOS-malware

Publisert av Platon

Følgere: 0

Nordkoreanske statshackere har debutert en fersk Mac-malware rettet mot brukere i USA og Japan, som forskerne karakteriserer som «fordummet», men effektiv.

En arm av DPRKs beryktede Lazarus Group, BlueNoroff har vært kjent for samle inn penger til Kim-regimet ved å målrette mot finansinstitusjoner - banker, venturekapitalfirmaer, kryptovalutabørser og oppstarter – og personene som bruker dem.

Siden tidligere i år har forskere fra Jamf Threat Labs sporet en BlueNoroff-kampanje de kaller "RustBucket", rettet mot MacOS-systemer. I en blogg publisert på tirsdag, avslørte de et nytt ondsinnet domene som etterligner en kryptoutveksling, og et rudimentært omvendt skall kalt "ObjCShellz", som gruppen bruker for å kompromittere nye mål.

"Vi har sett mange handlinger fra denne gruppen de siste månedene - ikke bare oss, men flere sikkerhetsselskaper," sier Jaron Bradley, direktør ved Jamf Threat Labs. "Det faktum at de er i stand til å oppnå målene sine ved å bruke denne fordummede malware er definitivt bemerkelsesverdig."

Nordkoreanske hackere retter seg mot MacOS

ObjCShellz sitt første røde flagg var domenet den koblet til: swissborg[.]blog, med en adresse som er uhyggelig lik swissborg.com/blog, et nettsted som drives av den legitime kryptovalutabørsen SwissBorg.

Dette var i samsvar med BlueNoroffs siste taktikk for sosial ingeniørkunst. I sin pågående RustBucket-kampanje, har trusselaktøren nådd ut til mål under dekke av å være en rekrutterer eller investor, med tilbud eller potensial for partnerskap. Å holde på rusen innebærer ofte å registrere kommando-og-kontroll-domener (C2) som etterligner legitime finansielle nettsteder for å blande seg inn i vanlig nettverksaktivitet, forklarte forskerne.

Eksemplet nedenfor ble fanget opp av Jamf-teamet fra nettstedet til et legitimt venturekapitalfond, og brukt av BlueNoroff i sin phishing-innsats.

Skjermbilde fra en legitim investeringsside BlueNoroff bruker i phishing — Kilde: Jamf

Etter første tilgang kommer dens MacOS-basert skadevare – en økende trend og nylig spesialitet til BlueNoroff.

"De retter seg mot utviklere og enkeltpersoner som har disse kryptovalutaene," forklarer Bradley, og på en opportunistisk måte har gruppen ikke vært fornøyd med kun å målrette mot de som bruker ett operativsystem. "Du kan gå etter et offer på en Windows-datamaskin, men mange ganger kommer disse brukerne til å være på Mac. Så hvis du velger å ikke målrette den plattformen, velger du potensielt bort en veldig stor mengde kryptovaluta som kan bli stjålet.»

Fra et teknisk synspunkt er imidlertid ObjCShellz fullstendig forenklet - et enkelt omvendt skall for Apple-datamaskiner, som muliggjør kommandoutførelse fra en angripers server. (Forskerne mistenker at dette verktøyet brukes i de sene stadiene av flertrinns angrep.)

Binærfilen ble lastet opp én gang fra Japan i september, og tre ganger fra en USA-basert IP i midten av oktober, la Jamf-forskerne til.

I lys av BlueNoroffs suksesser med å stjele krypto, oppfordrer Bradley Mac-brukere til å være like årvåkne som sine Windows-brødre.

"Det er mye falsk forståelse av hvordan Mac-maskiner er iboende trygge, og det er definitivt en viss sannhet i det," sier han. "Mac er et trygt operativsystem. Men når det kommer til sosial ingeniørkunst, er alle utsatt for å kjøre noe skadelig på datamaskinen sin.»