Mach-O Man приписывают группировке Famous Chollima
Набор инструментов Mach-O Man для создания вредоносного ПО под macOS приписывают Famous Chollima, подразделению Lazarus Group, связанному с Северной Кореей. Группировка регулярно атакует криптовалютные биржи, организации DeFi, финансовые компании и другие отрасли с целью шпионажа и кражи данных.
Как начинается атака и собираются сведения
Кампания начинается с захвата аккаунтов в Telegram, принадлежащих пользователям Web3 или криптовалютной сферы. Затем жертв направляют на мошеннические сайты для видеовстреч, имитирующие Microsoft Teams, Google Meet или Zoom. Сайт показывает сообщение об ошибке и предлагает скопировать команду в терминал macOS. Эта техника ClickFix запускает полезную нагрузку, а не устраняет настоящую техническую проблему.
Команда загружает и запускает стейджер Mach-O teamsSDK.bin. Он связывается с сервером управления злоумышленников (C2) и получает поддельное приложение для встреч, которое поддерживает обман. Затем стейджер загружает профилирующие полезные нагрузки D1YrHRTg.bin, D1ozPVNG.bin и D1yCPUyk.bin. По имеющимся данным, эти компоненты идентичны. Они собирают сведения о расширениях браузеров Chrome, Firefox и Safari, сетевой конфигурации и запущенных процессах. На этом этапе вредоносное ПО отправляет сведения об узле в текстовом файле, но ещё не выгружает пользовательские файлы.
Профилирующая полезная нагрузка многократно передаёт одни и те же данные на сервер C2 с помощью curl. Это может приводить к расходу системных ресурсов и повышать вероятность обнаружения. Для закрепления в macOS используется LaunchAgent. Исполняемый файл OneDrive перезапускает компоненты при запуске системы и удаляет следы, связанные с эксфильтрацией.
Кража данных и инфраструктура управления
Последующая полезная нагрузка macrasv2 работает как стиллер. Она нацеливается на данные расширений браузера, сохранённые учётные данные и файлы cookie браузера, записи Связки ключей macOS, а также другие представляющие интерес файлы. Украденные данные эксфильтруются через Telegram.
Инфраструктура C2 использует сервер Go net/http и предоставляет неавторизованную конечную точку /info. Она принимает произвольные загрузки файлов, если запросы соответствуют ожидаемому формату и значениям параметра User-Agent. По имеющимся данным, операторы также раскрыли токен Telegram Bot API. Эти уязвимости могут позволить злоумышленникам имитировать вредоносное ПО, загрязнять или перегружать инфраструктуру C2, а также злоупотреблять функциями бота в Telegram.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
