En ny kampagne med MacSync-malware bruger offentlige iCloud-kalenderbegivenheder som en del af sin infektionskæde, ifølge forskere hos Kaspersky. Kommandoer skjult i beskrivelsen af en begivenhed instruerer et downloadprogram i at hente flere skadelige komponenter fra iCloud.
Kalenderbegivenhed skjuler downloadkommandoer
MacSync målretter macOS-brugere gennem vildledende downloads og social manipulation. Forskere har set den præsenteret som gratis eller cracket software samt som en falsk kryptovaluta-wallet kaldet Toria.
Kaspersky identificerede to leveringsmetoder i en nylig kampagne. I den mere komplekse metode henter et downloadprogram indholdet af en offentlig iCloud-kalenderbegivenhed og sender disse data til Mac-computerens zsh-shell.
Det meste af teksten i begivenheden genererer fejl. Kommandoer placeret efter begivenhedens DESCRIPTION:-linje kører dog og henter et arkiv fra iCloud. Arkivet indeholder en app-pakke, der starter en række installationstrin. Disse trin leverer til sidst MacSync.
Informationstyv målretter loginoplysninger og filer
Den informationsstjælende komponent er stort set den samme som i tidligere versioner. Den søger efter browserhistorik, cookies og gemte loginoplysninger samt data fra kryptovaluta-wallets og Telegram-filer.
Den målretter også macOS Keychain-filen, systemoplysninger og filer forbundet med SSH, AWS, Kubernetes og Git. Malwaren kan vise sine egne adgangskodeprompter for at forsøge at få yderligere adgang.
Ny bagdør tilføjer fjernfunktioner
Kaspersky fandt et nyt bagdørsmodul skrevet i Objective-C. Det udgiver sig for at være Finder og bruger flere metoder til at starte igen efter en genstart, herunder en LaunchAgent og ændringer i shell-konfigurationen.
Installationsprogrammet afslutter også macOS-notifikationsprocesser, hvilket kan forhindre brugere i at se advarsler. Ifølge forskerne kan bagdøren modtage instruktioner fra sin kontrolserver, indsamle filer og systemoplysninger og uploade disse data.
Nogle kommandonavne tyder på, at den kan installere en browserudvidelse eller erstatte en Ledger-wallet-app. Kaspersky kunne ikke undersøge AppleScript-koden bag disse kommandoer og kunne derfor ikke bekræfte præcist, hvordan de fungerer. Forskerne fandt også en anden downloadet komponent, hvis formål fortsat er ukendt.
Mac-brugere bør kontrollere uventede downloads
Den kalenderbaserede leveringsmetode giver MacSync-malware endnu en måde at hente sine komponenter på. Mac-brugere bør undgå at køre kommandoer fra websites eller uventede prompter. De bør også være forsigtige med softwaredownloads fra ukendte websites og anmodninger om en administratoradgangskode.
0 svar til “MacSync-malware bruger offentlige iCloud-kalendere til at levere skadelige payloads”