Ny macOS-bakdør koblet til Nord-Korea dukker opp

Ny macOS-bakdør koblet til Nord-Korea dukker opp

Tidsstempel: 10. januar 2024 4:20

Penka Hristovska Penka Hristovska
Publisert på: Januar 10, 2024

Eksperter har oppdaget en ny malware-variant som retter seg mot Apples macOS-enheter.

Greg Lesnewich, Senior Threat Researcher ved Proofpoint, analyserte og diskuterte det nye viruset i en teknisk artikkel publisert på hans personlige blogg tidligere denne måneden. Han sa at skadelig programvare heter SpectralBlur, og beskrev den som en "moderat kapabel" kodebit.

Den nye macOS-malwaren er i stand til å laste ned, laste opp og slette filer, i tillegg til å kjøre skallkommandoer og gå inn i hvile- og dvalemodus, ifølge Lesnewich.

Prøven ble først lastet opp til VirusTotal i august i fjor, men den forble skjult for antivirusmotorer og forskere la merke til den først i forrige uke.

Lesnewich opprettet forbindelsen ved å bruke KANDYKORN (også kjent som SockRacket), en skadelig programvare som tidligere hadde blitt identifisert som en del av BlueNoroffs arsenal. KANDYKORN er spesifikt beskrevet som en fjerntilgangstrojaner, som gjør det mulig å overta kompromitterte endepunkter.

Objective-Sees sikkerhetsforsker Patrick Wardle så også på SpectralBlur. Ifølge ham, når den aktiveres, utløser skadelig programvare en funksjon designet for å dekryptere og kryptere konfigurasjonen og nettverkskommunikasjonen. Etter dette tar den en rekke tiltak som er ment å hindre analyse og unndra deteksjon.

Wardle forklarte at viruset bruker en pseudoterminal for å utføre skallkommandoer fra kommando- og kontrollsenteret (C&C). Han mener det er spesifikt programmert til å slette filer etter å ha tilgang til dem ved å erstatte innholdet med nuller.

Det antas at skadevaren ble designet av en undergruppe av Lazarus, en beryktet statsstøttet trusselaktør fra Nord-Korea. Gruppen ble kjent for sitt fokus på kryptovalutavirksomheter, spesielt de som er involvert i å utvikle "bro"-prosjekter. Hver kryptovaluta opererer på sin egen blokkjede, og disse "broene" ble skapt av utviklere for å muliggjøre interaksjoner mellom forskjellige blokkkjeder. Selv om de ofte blir revidert av uavhengige sikkerhetsskjemaer, inneholder de fortsatt kritiske sårbarheter, noe som åpner døren for ondsinnede aktører.

Tidstempel:

Mer fra Sikkerhetsdetektiver