安全動(dòng)態(tài)

新發(fā)現(xiàn)的Mac惡意軟件使用“無(wú)文件”感染保持隱身狀態(tài)

來(lái)源:聚銘網(wǎng)絡(luò)    發(fā)布時(shí)間:2019-12-11    瀏覽次數(shù):
 

信息來(lái)源:FreeBuf

最近,安全研究人員發(fā)現(xiàn)朝鮮黑客團(tuán)伙在利用Mac惡意軟件加強(qiáng)其攻擊活動(dòng),該惡意軟件使用內(nèi)存中執(zhí)行來(lái)保持隱身。

內(nèi)存中執(zhí)行(也稱(chēng)為無(wú)文件感染),不是向計(jì)算機(jī)硬盤(pán)驅(qū)動(dòng)器寫(xiě)入任何內(nèi)容,相反,它是將惡意代碼直接加載到內(nèi)存中執(zhí)行。因?yàn)闆](méi)有文件可分析或標(biāo)記可疑,使得該技術(shù)成為逃避防病毒檢測(cè)的有效方法。

在過(guò)去,無(wú)文件感染曾是政府背景黑客的專(zhuān)用手段,但到了2017年,出于經(jīng)濟(jì)動(dòng)機(jī)的黑客采用了這種技術(shù),此后,這種手段越來(lái)越普遍。

UnionCryptoTrader.dmg

無(wú)文件感染并非完全沒(méi)有文件。只不過(guò)它們?cè)诖蟛糠謺r(shí)間里會(huì)通過(guò)進(jìn)駐內(nèi)存來(lái)保持隱身。比如在上周首次曝光的一個(gè)名為UnionCryptoTrader.dmg的加密貨幣應(yīng)用程序,57款殺毒產(chǎn)品中只有兩款檢測(cè)出其可疑。到了周五,根據(jù)VirusTotal的數(shù)據(jù),檢測(cè)結(jié)果略有改善,但57種產(chǎn)品中也只有17款產(chǎn)品對(duì)其做了標(biāo)記。

根據(jù)企業(yè)Mac軟件提供商Jamf的Mac安全專(zhuān)家Patrick Wardle 的分析,該惡意軟件具有一個(gè)“后安裝”腳本,一旦啟動(dòng),會(huì)執(zhí)行以下操作:

1、將隱藏的plist(.vip.unioncrypto.plist)從應(yīng)用程序的Resources目錄移至/ Library / LaunchDaemons

2、將其設(shè)置為由根擁有

3、創(chuàng)建一個(gè)/ Library / UnionCrypto目錄

4、將隱藏的二進(jìn)制文件(.unioncryptoupdater)從應(yīng)用程序的Resources目錄移至/ Library / UnionCrypto /

5、執(zhí)行此二進(jìn)制文件(/ Library / UnionCrypto / unioncryptoupdater)

這個(gè)UnionCryptoTrader.dmg,以根身份運(yùn)行并具有“持久性”,這意味著它在重新啟動(dòng)后仍然可以持續(xù)運(yùn)行。

Wardle表示,安裝啟動(dòng)守護(hù)程序(其plist和二進(jìn)制文件隱藏在應(yīng)用程序的資源目錄中)是朝鮮黑客組織Lazarus常用的技術(shù)。此外,朝鮮黑客組織活動(dòng)的另一個(gè)特征是對(duì)加密貨幣的興趣。比如美國(guó)財(cái)政部在9月份的報(bào)道,指出行業(yè)組織已經(jīng)發(fā)現(xiàn)證據(jù)表明,朝鮮黑客從交易所那里竊取了價(jià)值數(shù)億美元的加密貨幣,試圖為該國(guó)的核武器開(kāi)發(fā)計(jì)劃提供資金。

這些都佐證了該惡意軟件與Lazarus的關(guān)聯(lián)。

內(nèi)存感染開(kāi)始

在感染鏈上,無(wú)文件執(zhí)行開(kāi)始。受感染的Mac開(kāi)始聯(lián)系位于hxxps://unioncrypto[.]vip/update的服務(wù)器,以檢查第二階段的負(fù)載。如果有可用的惡意軟件,則該惡意軟件將其下載并解密,然后使用macOS編程界面創(chuàng)建所謂的目標(biāo)文件映像。該映像允許惡意有效載荷在內(nèi)存中運(yùn)行,而無(wú)需接觸被感染Mac的硬盤(pán)。

Wardle寫(xiě)道:“由于內(nèi)存中過(guò)程映像的布局與磁盤(pán)上映像的布局不同,因此無(wú)法簡(jiǎn)單地將文件復(fù)制到內(nèi)存中并直接執(zhí)行它,相反,必須調(diào)用諸如NSCreateObjectFileImageFromMemory和NSLinkModule之類(lèi)的API(它們負(fù)責(zé)準(zhǔn)備內(nèi)存中的映射和鏈接)?!?

由于無(wú)法獲得第二階段有效載荷的副本,因此尚不清楚它的作用。考慮到文件和域名中的加密貨幣主題,以及朝鮮黑客對(duì)數(shù)字貨幣的關(guān)注,后續(xù)感染可以在訪問(wèn)錢(qián)包或類(lèi)似資產(chǎn)上。

上周,位于hxxps:// unioncrypto [.] vip /的控制服務(wù)器仍處于聯(lián)機(jī)狀態(tài),但響應(yīng)為0,這表明受感染的計(jì)算機(jī)沒(méi)有可用的其他有效負(fù)載。

盡管無(wú)文件感染進(jìn)一步表明Lazarus越來(lái)越擅長(zhǎng)于開(kāi)發(fā)隱形惡意軟件,但Wardle稱(chēng)其為最近發(fā)現(xiàn)的惡意軟件,AppleJeus.c仍警告用戶(hù)檢測(cè),這都是因?yàn)樗皇怯葾pple信任的開(kāi)發(fā)人員簽名的,該漏洞導(dǎo)致macOS在右側(cè)顯示一個(gè)警告。與安裝應(yīng)用程序時(shí)一樣,macOS也要求用戶(hù)輸入其Mac密碼,不過(guò)這也確實(shí)阻止了第一階段通過(guò)偷渡或其他秘密方法進(jìn)行安裝。

最后,這種惡意軟件不太可能針對(duì)加密貨幣交易所以外的任何人。但如果想要檢測(cè),可以查找:

(1)/Library/LaunchDaemons/vip.unioncrypto.plist

(2)正在運(yùn)行的進(jìn)程或二進(jìn)制文件/ Library / UnionCrypto / unioncryptoupdater的存在。

 
 

上一篇:2019年12月10日 聚銘安全速遞

下一篇:Reddit:美英貿(mào)易文檔泄露背后的“影響力活動(dòng)”