En ny kampanje med MacSync-skadevare bruker offentlige iCloud-kalenderhendelser som en del av infeksjonskjeden, ifølge forskere hos Kaspersky. Kommandoer skjult i beskrivelsen av en hendelse instruerer et nedlastingsprogram om å hente flere skadelige komponenter fra iCloud.
Kalenderhendelse skjuler nedlastingskommandoer
MacSync retter seg mot macOS-brukere gjennom villedende nedlastinger og sosial manipulering. Forskere har sett den presentert som gratis eller cracket programvare, samt som en falsk kryptovalutalommebok kalt Toria.
Kaspersky identifiserte to leveringsmetoder i en nylig kampanje. I den mer komplekse metoden henter et nedlastingsprogram innholdet i en offentlig iCloud-kalenderhendelse og sender disse dataene til Macens zsh-skall.
Det meste av teksten i hendelsen genererer feil. Kommandoer som er plassert etter hendelsens DESCRIPTION:-linje, kjøres imidlertid og henter et arkiv fra iCloud. Arkivet inneholder en app-pakke som starter en rekke installasjonstrinn. Disse trinnene leverer til slutt MacSync.
Informasjonstyv retter seg mot påloggingsinformasjon og filer
Den informasjonstjelende komponenten er i stor grad lik tidligere versjoner. Den søker etter nettleserhistorikk, informasjonskapsler og lagret påloggingsinformasjon, samt data fra kryptovalutalommebøker og Telegram-filer.
Den retter seg også mot macOS Keychain-filen, systeminformasjon og filer knyttet til SSH, AWS, Kubernetes og Git. Skadevaren kan vise sine egne passordforespørsler for å forsøke å få ytterligere tilgang.
Ny bakdør legger til fjernfunksjoner
Kaspersky fant en ny bakdørsmodul skrevet i Objective-C. Den utgir seg for å være Finder og bruker flere metoder for å starte på nytt etter en omstart, inkludert en LaunchAgent og endringer i skallkonfigurasjonen.
Installasjonsprogrammet avslutter også macOS-varslingsprosesser, noe som kan hindre brukere i å se varsler. Ifølge forskerne kan bakdøren motta instruksjoner fra kontrollserveren, samle inn filer og systeminformasjon og laste opp disse dataene.
Noen kommandonavn tyder på at den kan distribuere en nettleserutvidelse eller erstatte en Ledger-lommebokapp. Kaspersky kunne ikke undersøke AppleScript-koden bak disse kommandoene og kunne derfor ikke bekrefte nøyaktig hvordan de fungerer. Forskerne fant også en annen nedlastet komponent med et formål som fortsatt er ukjent.
Mac-brukere bør kontrollere uventede nedlastinger
Den kalenderbaserte leveringsmetoden gir MacSync-skadevare enda en måte å hente komponentene sine på. Mac-brukere bør unngå å kjøre kommandoer som leveres av nettsteder eller uventede forespørsler. De bør også være forsiktige med programvarenedlastinger fra ukjente nettsteder og forespørsler om administratorpassord.
0 responses to “MacSync-skadevare bruker offentlige iCloud-kalendere til å levere skadelige payloads”