В арсенале авторов атак на macOS появился Go-вариант Cobalt Strike Beacon

В арсенале авторов атак на macOS появился Go-вариант Cobalt Strike Beacon

Эксперты SentinelOne фиксируют рост числа образцов Geacon, загруженных на VirusTotal. Анализ версии маячка Cobalt Strike, написанной на Golang, выявил артефакты, позволяющие говорить о ее использовании в атаках на macOS.

Легитимный набор инструментов Cobalt Strike предоставляет широкий выбор возможностей постэксплуатации, и преступники охотно им пользуются для развития успеха. Подобные злоупотребления встречаются в атаках на Windows-сети, платформу Apple они обычно не затрагивают.

Такие инциденты, как pymafka, редки. Напомним, более года назад в репозитории PyPI был обнаружен зловред, загружающий Cobalt Strike Beacon на хосты Windows и macOS.

В SentinelOne полагают, что эксперименты с Geacon, доступным на GitHub, способны со временем изменить предпочтения злоумышленников. В ИБ-компании убедились в этом, изучив два новых образца, поданных на VirusTotal в этом месяце. и созданных на основе форков geacon_pro и geacon_plus.

Оба созданы анонимом из Китая на основе форков geacon_pro и geacon_plus; первый проект уже удален с GitHub. Доставка маячка в настоящее время осуществляется разными способами, в том числе через файл-загрузчик Resume_20230320.app и троянизированное приложение корпоративного класса SecureLink.

В первом случае фальшивка использует AppleScript для загрузки целевого пейлоада с удаленного сервера в Китае. Загружаемый бинарник (уровень детектирования на VirusTotal — 24/61 по состоянию на 16 мая) не содержит подписи и способен работать на компьютерах, использующих чипы Apple и Intel.

Чтобы продлить иллюзию легитимности, Geacon отображает жертве маскировочный документ PDF на двух страницах — резюме на китайском языке. Сам зловред обладает множеством функций, позволяющих выполнять такие задачи, как сетевые коммуникации, шифрование и расшифровка, загрузка вторичного пейлоада, эксфильтрация данных.

 

Код Geacon, встроенный в клиент удаленной поддержки (SecureLink.app), нацелен на Intel-устройства, работающие под OS X Mavericks (10.9) и выше. Вредоносный фейк (24/61 на 16 мая) тоже не подписан и при установке запрашивает разрешения на доступ к контактам, фото, списку напоминаний, веб-камере и микрофону. Его С2-сервер расположен в Японии.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Под блоком Роскомнадзора находятся 150 VPN и 700 страниц с их рекламой

В настоящее время Роскомнадзор блокирует порядка 150 популярных VPN-сервисов. В рунете также начали закрывать доступ к рекламе таких средств обхода запретов: регулятор уже забанил 700 пропагандистских ресурсов.

Статистику озвучил сегодня, 23 апреля, на XIII Форуме безопасного интернета Евгений Зайцев, начальник управления РКН по контролю и надзору в сфере электронных коммуникаций. Соответствующее сообщение первым опубликовало ТАСС.

Примечательно, что на сайте Роскомнадзора этой статистики пока нет. Последняя новость посвящена блокировке ЛГБТ-пропаганды: в прошлом году было выявлено 19 тыс. веб-страниц с таким содержимым. Это тоже прозвучало в ходе выступления Зайцева в Москве.

Ранее стало известно, что в I квартале Роскомнадзор заблокировал около 172 тыс. ресурсов с запрещенным контентом. В основном это пропаганда ЛГБТ, суицида, наркотиков, фейки о Вооруженных Силах РФ и детское порно.

В 1 марта регулятор также начал во внесудебном порядке блокировать информацию о способах обхода действующих в стране запретов, в том числе рекламу VPN и инструкции по использованию таких служб.

По данным ЦМУ ССОП на ноябрь, в России с 2021 года было заблокировано 167 VPN. По всей видимости, эти сервисы не подключились к ФГИС с блоклистом ресурсов и были признаны угрозой функционирования интернета на территории РФ. Роскомнадзор регулярно обновляет перечень VPN, работающих в рунете, и ограничивает работу нарушителей законодательства.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru