Китайский бэкдор Gimmick портирован на macOS

Китайский бэкдор Gimmick портирован на macOS

Китайский бэкдор Gimmick портирован на macOS

При разборе недавней атаки на сеть клиента эксперты Volexity обнаружили на взломанном MacBook Pro вредоносный имплант. Анализ показал, что это macOS-версия бэкдора Gimmick, используемого китайской APT-группой Storm Cloud.

Интересы группировки, деятельность которой в ИБ-компании отслеживают под условным названием Storm Cloud, ограничены территорией Азии. Проводя шпионские атаки, хакеры обычно используют штатные средства ОС, инструменты с открытым исходным кодом и кастомные импланты, а для нужд C2 — публичные веб-сервисы вроде Google Диска.

Как оказалось, новоявленный зловред по поведению мало чем отличается от уже известного Windows-собрата, к тому же делит с ним C2-инфраструктуру. Только написан он не на .NET и Delphi, а на Objective-C.

В системе новый Gimmick работает как демон или кастомное приложение, выдающее себя за программу, которую жертва регулярно использует. Чтобы надежнее скрыть C2-коммуникации в легитимном трафике, вредонос подключается к Google Диску только в рабочие дни недели.

Набор функций, которые выполняет macOS-бэкдор, вполне стандартен: он умеет сливать на сторону информацию о зараженной машине, загружать произвольные файлы, выполнять шелл-команды. Найденный образец обладал также механизмом деинсталляции, позволявшим зловреду стирать все следы своего присутствия в системе.

Новобранец, как и Windows-предшественник, выполняется асинхронно, то есть не ждет завершения некоего процесса, а продолжает работу независимо от него. Для авторизации в облаке Google он использует вшитый идентификатор OAuth2, а для шифрования внешних файлов создает ключ AES.

Для каждого случая заражения Gimmick на Google Диске создается отдельная папка. Управлять ключевыми аспектами C2-протокола вредоносу помогают три кастомных класса ObjectiveC — DriveManager, FileManager и GCDTimerManager.

Первый отвечает за сессии Google Диска и прокси, правильность отображения иерархии папок Google Диска в локальной памяти, синхронизацию с веб-сервисом, загрузку и отправку данных. В зону ответственности FileManager входит локальная иерархия папок с информацией о принятых командах и ходе их выполнения. GCDTimerManager управляет различными объектами GCD, которые обеспечивают стабильность работы импланта, и следит за тем, чтобы время его активности не превышало заданные пределы.

 

О своей находке эксперты сообщили в Apple, а затем помогли вендору создать новые сигнатуры для его защитных решений. Неделю назад результат был добавлен в базы XProtect и MRT (Malware Removal Tool).

Лаборатория Касперского опровергла слухи о продаже МойОфис

«Лаборатория Касперского» прокомментировала слухи о возможной продаже разработчика офисного ПО «МойОфис» и дала понять: никакой сделки на горизонте сейчас нет. Поводом для разъяснений стали публикации о якобы ведущихся переговорах между «Лабораторией Касперского» и «Группой Астра» о продаже доли в компании НОТ — разработчике российского аналога Microsoft Office.

После этого в редакцию «Коммерсанта» обратились представители «МойОфис» и заявили, что «никаких предметных переговоров и обсуждений изменения долей в капитале компании не ведётся и в прошлом году не велось».

Эту позицию подтвердили и источники внутри «МойОфис». По их словам, сотрудникам компании была разослана служебная записка за подписью генерального директора Вячеслава Закоржевского, в которой напрямую опровергается информация «о якобы планирующейся продаже акций "МойОфис" другому инвестору».

В самой «Лаборатории Касперского» подчёркивают, что «МойОфис» остаётся для них важным активом. Сейчас компании принадлежит 69,8% разработчика офисного ПО.

«"МойОфис" — один из лидеров российского рынка офисных решений. Компания обладает сильным портфелем технологий, продуктами и серьёзным рыночным потенциалом. Неудивительно, что к ней проявляют интерес разные игроки. Однако в настоящий момент никаких переговоров или обсуждений изменения долей в капитале не ведётся», — сообщили в пресс-службе «Лаборатории Касперского».

Свою позицию обозначила и «Группа Астра». Там отметили, что действительно регулярно общаются с участниками ИТ-рынка и обсуждают возможные M&A-сценарии, но подчеркнули, что сейчас речь не идёт ни о каких конкретных решениях.

НОТ занимается разработкой офисных решений с 2013 года. Финансовые результаты компании в последние годы были непростыми: на протяжении пяти лет она фиксировала убытки, за исключением 2022 года, когда «МойОфис» показал чистую прибыль в 386,5 млн рублей.

Напомним, 14 января РБК сообщил о том, что «Группа Астра» якобы ведёт переговоры с «Лабораторией Касперского» о покупке контрольного пакета в «МойОфис». Теперь обе стороны официально дали понять: по крайней мере на текущий момент эти разговоры остаются лишь слухами.

RSS: Новости на портале Anti-Malware.ru