macOS.Gaslight: бэкдор КНДР с атакой на LLM-аналитику
macOS.Gaslight: Rust-бэкдор для macOS с акцентом на обман ИИ-анализа и кражу данных
Исследователи кибербезопасности описывают macOS.Gaslight как сложный backdoor для macOS, связанный с активностью, ассоциируемой с Северной Кореей. В отличие от многих современных вредоносных программ, этот Implant ориентирован не столько на обход sandbox, сколько на дезориентацию аналитиков во время разбора вредоносного кода, в том числе при использовании LLM-инструментов triage.
Главная особенность macOS.Gaslight — использование 38 сфабрикованных системных сообщений, встроенных в payload. По замыслу операторов, они должны вызывать сомнения в результатах анализа и усложнять интерпретацию поведения угрозы. Такой подход делает malware заметным примером новой тактики, направленной на подрыв эффективности ИИ-детектирования и автоматизированного анализа.
Командный канал и защита связи
Для связи с оператором backdoor использует Telegram Bot API. Механизм управления C2 работает через polling, который активируется при отсутствии зарегистрированного webhook. При этом коммуникации защищены строгим набором мер:
- AES-GCM для шифрования полезной нагрузки;
- TLS-соединения;
- certificate pinning для контроля подлинности канала.
Еще одна деталь, повышающая устойчивость Implant к расследованию, — автоматическое удаление Telegram bot token из вывода во время выполнения. Это снижает вероятность восстановления данных аналитиками безопасности и усиливает меры OPSEC.
Сбор данных и закрепление в системе
macOS.Gaslight содержит компоненты для кражи данных, прежде всего нацеленные на конфиденциальную информацию. В числе приоритетных объектов — история браузеров и учетные данные из Keychain macOS.
Сбор данных реализован через закодированный Python-скрипт, который разворачивает полноценную среду извлечения информации с использованием автономного CPython runtime, загружаемого при выполнении.
Для закрепления в системе используется LaunchAgent, замаскированный под системные службы. Такой способ persistence хорошо известен и часто встречается у семейства malware, связанных с КНДР.
Почему этот образец выделяется
Отдельного внимания заслуживает не только функциональность кражи данных, но и сама концепция атаки. Реализация prompt injection в составе вредоносного ПО демонстрирует попытку воздействовать на анализ, основанный на ИИ, путем искусственного усложнения процесса оценки.
В этом macOS.Gaslight отличается от ранее известных образцов, которые либо использовали ИИ в операционных целях, либо ограничивались более простыми методами obfuscation. Здесь же речь идет о целенаправленной стратегии, в которой аналитик становится частью модели угроз.
Контекст угрозы
Первоначально распространение macOS.Gaslight было замечено после обновления Apple XProtect в июне 2023 года, однако на тот момент образец оставался незамеченным при static analysis. Это подчеркивает, насколько быстро evolving threat landscape требует от защитников не только сигнатурных подходов, но и устойчивости к манипуляциям, направленным на сам процесс расследования.
«macOS.Gaslight» показывает, что злоумышленники все чаще пытаются эксплуатировать инструменты ИИ, которые становятся базовой частью современных процессов кибербезопасности.
Таким образом, macOS.Gaslight можно рассматривать как пример нового поколения угроз для macOS: с развитым C2, усиленным OPSEC, возможностями data theft и, главное, с прицелом на подрыв доверия к аналитическим инструментам. Для специалистов по безопасности это сигнал о том, что защита должна учитывать не только поведение malware, но и его попытки влиять на саму интерпретацию этого поведения.
Почему злоумышленники всё чаще пытаются обмануть LLM-аналитику в SOC и как центры мониторинга отвечают на такие приёмы, эксперты «Лаборатории Касперского» и Сбера разобрали в интервью CISOCLUB.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
