Lazarus пробует протащить трояна в macOS с помощью скрытых метаданных

Lazarus пробует протащить трояна в macOS с помощью скрытых метаданных

Lazarus пробует протащить трояна в macOS с помощью скрытых метаданных

Исследователи из Group-IB нашли в интернете несколько образцов неизвестного ранее трояна, внедряемого в macOS необычным способом. Для скрытной доставки зловреда, нареченного RustyAttr, используются расширенные атрибуты файлов (EA).

Эти дополнительные метаданные напрямую не отыщешь в приложении «Терминал» или файловом менеджере Finder. Для их просмотра, редактирования и удаления обычно используется команда xattr.

Обнаруженная экспертами вредоносная программа создана с использованием фреймворка Tauri и подписана слитым сертификатом разработчика (Apple его уже отозвала). При запуске она загружает в WebView страницу с JavaScript, который извлекает шелл-код, спрятанный в EA с именем «test», и запускает его на исполнение.

 

Для отвода глаз жертве отображается стянутый с файлообменника документ PDF или поддельное диалоговое окно с сообщением об ошибке.

 

По словам экспертов, принятые меры против обнаружения оправдали себя: на момент проведения анализа RustyAttr не смог задетектировать ни один антивирус из коллекции VirusTotal.

Конечная цель таких атак неясна, так как сведений о жертвах нет. Зафиксирована попытка загрузки дополнительного пейлоада с хоста, ассоциированного с ИТ-инфраструктурой Lazarus, однако целевой сервер оказался вне доступа.

Защиту от подобных зловредов способен обеспечить Gatekeeper. Чтобы обойти это препятствие, автору атаки придется взаимодействовать с пользователем macOS и, применив социальную инженерию, заставить его отключить верного охранника.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новая атака на игроков в CS2: подделка Steam-окна и бренд NAVI

Исследователи обнаружили новую фишинговую кампанию, нацеленную на игроков в Counter-Strike 2. Злоумышленники используют технику Browser-in-the-Browser (BitB), что позволяет им создавать фейковые всплывающие окна аутентификации (в данном случае — окно Steam).

Киберпреступники маскируются под киберспортивную команду NAVI, чтобы вызвать доверие у фанатов и придать легитимность мошенническим страницам.

В отчёте Silent Push отмечается, что потенциальным жертвам обещают бесплатный кейс с внутриигровыми предметами для CS2, размещая рекламу на YouTube и других площадках.

Пользователей перенаправляют на следующие сайты:

  • caserevs[.]com
  • caseneiv[.]com
  • casenaps[.]com
  • caseners[.]com
  • simplegive[.]cn
  • caseneus[.]cfd

Все веб-ресурсы используют один и тот же IP-адрес, что указывает на координированную кампанию, проводимую одной группой.

При попытке «получить подарок» жертву просят войти в аккаунт Steam через всплывающее окно. На деле это окно — часть фальшивого интерфейса, созданного внутри активного браузера с помощью техники BitB.

Такие окна нельзя перетаскивать или масштабировать, как обычные, — это может выдать подделку, но большинство пользователей не замечают подобных особенностей.

Цель атак — захват Steam-аккаунтов, которые затем перепродаются на серых маркетплейсах. Стоимость может достигать десятков, а иногда и сотен тысяч рублей — в зависимости от содержимого профиля, коллекции игр и скинов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru