Разбор атак watering hole выявил новый бэкдор для macOS

Разбор атак watering hole выявил новый бэкдор для macOS

Разбор атак watering hole выявил новый бэкдор для macOS

Минувшей осенью эксперты ESET выявили кампанию кибершпионажа, направленную против участников демократического движения в Гонконге. Авторы атак использовали метод watering hole для раздачи через эксплойт незадокументированного macOS-зловреда — бэкдор, которому было присвоено кодовое имя DazzleSpy.

С этой целью злоумышленники взломали сайт гонконгской радиостанции D100 и внедрили на его страницы фреймы, загружающие эксплойт CVE-2021-1789. Соответствующая уязвимость в движке WebKit была закрыта в феврале 2021 года.

В результате отработки вредоносного кода на машине жертвы запускался промежуточный бинарник Mach-O — исполняемый в памяти простейший загрузчик. Этот зловред скачивает с указанного адреса целевую полезную нагрузку и запускает ее с правами root, используя эксплойт CVE-2021-30869 (устранена в сентябре).

Анализ DazzleSpy показал, что бэкдор обладает богатым набором функций и способен совершать следующие действия:

  • собирать информацию о зараженной системе;
  • выполнять произвольные шелл-команды;
  • составлять списки содержимого папок, проводить поиск файлов, переименовывать их, переносить и сливать на сторону;
  • открывать и завершать сессию screen (удаленного админа);
  • выводить данные из памяти iCloud Keychain с помощью эксплойта CVE-2019-8526 (актуален для macOS версий ниже 10.14.4);
  • удалять себя с компьютера.

Координаты C2-сервера DazzleSpy (IP-адрес и порт) жестко прописаны в коде. При установке связи вредонос использует TLS-хэндшейк, а затем кастомный протокол для обмена данными.

Кому стоит опасаться усиления контроля над оборотом наличных

20 мая Банк России рекомендовал кредитным организациям усилить контроль за операциями по внесению крупных сумм наличных. Мера направлена на противодействие легализации преступных доходов. Банкам предлагается ежедневно анализировать операции клиентов и обращать внимание на характерные признаки подозрительной активности.

Для физических и юридических лиц, а также индивидуальных предпринимателей эти признаки различаются. Соответствующие методические рекомендации 1-МР Банк России выпустил 20 мая.

При этом рекомендации не касаются клиентов, чьё финансовое положение, деловая репутация и источники происхождения средств уже подтверждены документально. В таких случаях банк располагает всей необходимой информацией, поэтому дополнительная проверка не требуется.

Как прокомментировала агентству «Прайм» доцент кафедры финансов устойчивого развития РЭУ им. Г. В. Плеханова, международный финансовый советник Мария Ермилова, внимание банков могут привлечь клиенты, которые вносят крупные суммы наличными — не менее 5 млн рублей в течение 30 дней. Особый интерес вызовут случаи, когда средства со счетов, пополненных наличными, быстро расходуются.

«Основная цель рекомендаций — противодействие легализации (отмыванию) доходов, полученных преступным путём, и другим противозаконным действиям. Если человек вносит крупные суммы наличными и не может подтвердить их происхождение, его операциями могут заинтересоваться. Если все документы в порядке — ничего не изменится», — отметила финансист.

Мария Ермилова рекомендовала заранее подготовить документы, подтверждающие происхождение средств. Это поможет избежать возможных проблем из-за повышенного внимания со стороны банков.

Между тем в России растёт оборот наличных. По данным на конец апреля, объём наличных на руках у населения и бизнеса составил 20 трлн рублей. В таких сферах, как продовольственная и мебельная розница, продажи автотоваров, строительство и общественное питание, доля расчётов наличными превысила треть.

RSS: Новости на портале Anti-Malware.ru