Более десяти лет вредоносные программы, использующие макросы в документах Microsoft Office активно атаковали операционные системы Windows. Теперь же подобные зловреды представляют угрозу и для пользователей MacOS.

Эксперт из Synack, Патрик Уордл (Patrick Wardle), недавно обнаружил атаку на пользователей MacOS, использующую ту же тактику с вредоносными макросами, которая была так успешна в случае с Windows. По словам Уордла, атака осуществлялась с помощью документа под названием «U.S. Allies and Rivals Digest Trump’s Victory - Carnegie Endowment for International Peace.docm».

Используя ClamAV sigtool для извлечения макросов, эксперт наткнулся на код Python, предназначенный для выполнения ряда проверок на компьютере потенциальной жертвы, который затем выполняет вредоносные действия. Как только пользователь открывает документ в Word для Mac (при этом макросы должны быть включены) начинает выполняться функция Фишера.

Функция Фишера декодирует base64-данные и выполняет их с помощью Python. Python-код, по утверждениям экспертов, был скопирован с проекта с открытым исходным кодом EmPyre. Он проверяет, не активирован ли в системе LittleSnitch и загружает вредоносный компонент с адреса hxxps[:]//www. securitychecking.org:443/index[.]asp. Затем код расшифровывает и запускает этот компонент.

К сожалению, эксперту пока не удалось проанализировать то, что загружается с вышеуказанного адреса, так как этот файл не был доступен во время анализа.

«ПО моим предположениям, второй компонент, который загружается вредоносом в ходе установки, обеспечивает удаленному злоумышленнику постоянный доступ к зараженному устройству» - говорит исследователь.

IP-адрес домена securitychecking(.)org, на котором располагается вредоносный компонент, указывает на Россию и ранее был связан с фишингом.