Китайский бэкдор Gimmick портирован на macOS

Китайский бэкдор Gimmick портирован на macOS

Китайский бэкдор Gimmick портирован на macOS

При разборе недавней атаки на сеть клиента эксперты Volexity обнаружили на взломанном MacBook Pro вредоносный имплант. Анализ показал, что это macOS-версия бэкдора Gimmick, используемого китайской APT-группой Storm Cloud.

Интересы группировки, деятельность которой в ИБ-компании отслеживают под условным названием Storm Cloud, ограничены территорией Азии. Проводя шпионские атаки, хакеры обычно используют штатные средства ОС, инструменты с открытым исходным кодом и кастомные импланты, а для нужд C2 — публичные веб-сервисы вроде Google Диска.

Как оказалось, новоявленный зловред по поведению мало чем отличается от уже известного Windows-собрата, к тому же делит с ним C2-инфраструктуру. Только написан он не на .NET и Delphi, а на Objective-C.

В системе новый Gimmick работает как демон или кастомное приложение, выдающее себя за программу, которую жертва регулярно использует. Чтобы надежнее скрыть C2-коммуникации в легитимном трафике, вредонос подключается к Google Диску только в рабочие дни недели.

Набор функций, которые выполняет macOS-бэкдор, вполне стандартен: он умеет сливать на сторону информацию о зараженной машине, загружать произвольные файлы, выполнять шелл-команды. Найденный образец обладал также механизмом деинсталляции, позволявшим зловреду стирать все следы своего присутствия в системе.

Новобранец, как и Windows-предшественник, выполняется асинхронно, то есть не ждет завершения некоего процесса, а продолжает работу независимо от него. Для авторизации в облаке Google он использует вшитый идентификатор OAuth2, а для шифрования внешних файлов создает ключ AES.

Для каждого случая заражения Gimmick на Google Диске создается отдельная папка. Управлять ключевыми аспектами C2-протокола вредоносу помогают три кастомных класса ObjectiveC — DriveManager, FileManager и GCDTimerManager.

Первый отвечает за сессии Google Диска и прокси, правильность отображения иерархии папок Google Диска в локальной памяти, синхронизацию с веб-сервисом, загрузку и отправку данных. В зону ответственности FileManager входит локальная иерархия папок с информацией о принятых командах и ходе их выполнения. GCDTimerManager управляет различными объектами GCD, которые обеспечивают стабильность работы импланта, и следит за тем, чтобы время его активности не превышало заданные пределы.

 

О своей находке эксперты сообщили в Apple, а затем помогли вендору создать новые сигнатуры для его защитных решений. Неделю назад результат был добавлен в базы XProtect и MRT (Malware Removal Tool).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Число утечек данных из российских школ, колледжей и вузов выросло на 20%

В образовательных учреждениях России за первое полугодие 2025 года зафиксировано 18 случаев утечек конфиденциальной информации. Это на 20% больше, чем за тот же период 2024 года, когда было зарегистрировано 15 инцидентов. Такие данные приводит экспертно-аналитический центр InfoWatch.

Всего в первой половине этого года из российских школ, колледжей и вузов утекло около 1,7 млн записей персональных данных — против 1,4 млн годом ранее.

Интересно, что в мире ситуация обратная: количество инцидентов снизилось. В глобальном масштабе зарегистрировано 168 утечек (на треть меньше, чем в прошлом году), однако число скомпрометированных записей резко выросло — 65,3 млн против 40,6 млн год назад. То есть атак стало меньше, но масштаб каждой вырос.

Эксперты отмечают, что данные российских учебных заведений всё чаще попадают на площадки в даркнете. Там можно встретить объявления о продаже информации, похищенной из вузов, государственных и частных школ, а также центров повышения квалификации. При этом далеко не все такие инциденты получают официальное подтверждение.

«Образовательный сектор — это кладезь чувствительной информации: персональные данные учащихся и сотрудников, финансовые сведения, научные материалы. Всё это привлекает и хакеров, и инсайдеров. Утечки подрывают доверие к организациям и могут отпугнуть будущих студентов и их родителей. Поэтому цифровизация образования должна идти рука об руку с кибербезопасностью», — отметил руководитель направления аналитики InfoWatch Андрей Арсентьев.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru