Ny macOS-bakdörr länkad till Nordkorea dyker upp

Ny macOS-bakdörr länkad till Nordkorea dyker upp

Tidsstämpel: 10 januari 2024 4:20

Penka Hristovska Penka Hristovska
Publicerad på: Januari 10, 2024

Experter har upptäckt en ny malware-variant som riktar sig mot Apples macOS-enheter.

Greg Lesnewich, Senior Threat Researcher vid Proofpoint, analyserade och diskuterade det nya viruset i en teknisk beskrivning publicerades på hans personliga blogg tidigare denna månad. Han sa att skadlig programvara heter SpectralBlur och beskrev den som en "måttligt kapabel" kod.

Den nya macOS skadliga programvaran kan ladda ner, ladda upp och ta bort filer, samt köra skalkommandon och gå in i viloläge och viloläge, enligt Lesnewich.

Provet laddades först upp till VirusTotal i augusti förra året, men det förblev dolt från antivirusmotorer och forskare märkte det först förra veckan.

Lesnewich skapade anslutningen med KANDYKORN (även känd som SockRacket), en skadlig programvara som tidigare hade identifierats som en del av BlueNoroffs arsenal. KANDYKORN beskrivs specifikt som en trojan för fjärråtkomst, som gör det möjligt att ta över komprometterade slutpunkter.

Objective-Sees säkerhetsforskare Patrick Wardle tittade också på SpectralBlur. Enligt honom, när den aktiveras, utlöser skadlig programvara en funktion utformad för att dekryptera och kryptera dess konfiguration och nätverkskommunikation. Efter detta vidtar den en rad åtgärder för att hindra analys och undvika upptäckt.

Wardle förklarade att viruset använder en pseudoterminal för att utföra skalkommandon från kommando- och kontrollcentralen (C&C). Han tror att det är specifikt programmerat att ta bort filer efter att ha kommit åt dem genom att ersätta deras innehåll med nollor.

Man tror att skadlig programvara designades av en undergrupp av Lazarus, en ökända statligt sponsrad hotaktör från Nordkorea. Gruppen blev känd för sitt fokus på kryptovalutaföretag, särskilt de som är involverade i att utveckla "bro"-projekt. Varje kryptovaluta fungerar på sin egen blockkedja och dessa "broar" skapades av utvecklare för att möjliggöra interaktioner mellan olika blockkedjor. Även om de ofta granskas av oberoende säkerhetsformulär innehåller de fortfarande kritiska sårbarheter, vilket öppnar dörren för illvilliga aktörer.

Tidsstämpel:

Mer från Säkerhetsdetektiver