AppleProcessHub: новый macOS-троян крадёт SSH-ключи и данные из Keychain

AppleProcessHub: новый macOS-троян крадёт SSH-ключи и данные из Keychain

AppleProcessHub: новый macOS-троян крадёт SSH-ключи и данные из Keychain

AppleProcessHub — новый вредонос для macOS, попавший на радары исследователей 15 мая 2025 года. Поводом стала подозрительная библиотека libsystd.dylib. Формально это динамическая библиотека, а на деле — полноценный бинарник Mach-O на Objective-C с целой кучей сюрпризов внутри.

По словам Кристофера Лопеса, старшего исследователя по безопасности macOS из Kandji, вредонос специально заточен под кражу конфиденциальных данных:

  • истории команд терминала (.bash_history, .zsh_history),
  • SSH-ключей и конфигов,
  • файла gitconfig,
  • содержимого Keychain (Login.keychain-db),
  • даже системных настроек вроде /etc/hosts.

Что это значит на практике? Злоумышленники получают всё: токены, пароли, приватные ключи, IP-адреса внутренних ресурсов. То есть — не просто утечка данных, а потенциальный входной билет в корпоративную сеть.

Хотя файл замаскирован под .dylib, по сути он запускается как обычное приложение: стартует с функции _start(), далее вызывает [Task ccsys] и уже оттуда тянет второй этап заражения. Всё это аккуратно завернуто в механизмы Grand Central Dispatch и кучу непрямых вызовов, усложняющих анализ.

Самое интересное — как устроен обмен с C2-сервером. В теле вредоноса лежат base64-строки, зашифрованные через AES-128 (ECB) со статичным ключом CMKD378491212qwe.

Эти строки расшифровываются методом des12Decry:, после чего malware получает ссылку на команду от сервера:

https://www.appleprocesshub[.]com/v1/resource

Если сервер активен и возвращает скрипт — например, fSidEOWW.sh, — он запускается через NSTask с обычной командой /bin/sh -c. Скрипт собирает нужные данные, упаковывает их и отгружает обратно атакующим.

Интересный факт: в момент анализа домен управления был недоступен. Но архитектура у дроппера модульная, так что легко может подцепить другую полезную нагрузку с нового адреса.

На VirusTotal файл сначала засветился всего с двумя детектами — ещё одно подтверждение его скрытности. А использование нативных API macOS, “чистого” Objective-C и AES делает анализ и обнаружение гораздо сложнее.

Так что да, AppleProcessHub — серьёзный звоночек. Особенно для разработчиков, инженеров и небольших команд: malware явно нацелен на dev-среду.

Подпишитесь на новости

Не просто стойка с GPU: в России собрали ПАК для корпоративного ИИ

«Лаборатория Числитель» и «Информзащита» представили программно-аппаратный комплекс, который должен помочь крупным компаниям перейти от вечных ИИ-пилотов к нормальной промышленной эксплуатации моделей. Решение анонсировали на форуме TNF-2026.

В основе ПАК — высокопроизводительный ML-кластер и российская платформа контейнеризации «Штурвал». Но создатели подчёркивают: это не очередная дорогая стойка с GPU, на которой каждый проект приходится собирать руками.

Комплекс превращает вычислительные мощности в единый управляемый ресурс. ML-специалист запускает задачу, а платформа сама выделяет CPU и GPU, поднимает нужное окружение, подключает хранилище, запускает обучение и масштабирует нагрузку. Для автоматизации используются Kubernetes и инструменты MLOps, включая Kubeflow, MLflow и model serving.

Архитектура состоит из четырёх уровней: аппаратной инфраструктуры, платформы «Штурвал», MLOps-стека и прикладных ИИ-сервисов — от прогнозирования и аналитики до корпоративных ассистентов. Вокруг ядра работают IAM/SSO, объектное хранилище, реестр образов, CI/CD, мониторинг и аудит.

Заказчики получают единый пул вычислительных ресурсов, изоляцию проектов, централизованное управление доступами и полный жизненный цикл моделей — от эксперимента до публикации и обновления. При этом ML-инструменты не лезут напрямую в железо, а получают инфраструктуру как сервис.

Как сообщается в публикации о проекте, архитектура уже прошла промышленную эксплуатацию у крупного государственного заказчика.

RSS: Новости на портале Anti-Malware.ru