Šiaurės Korėjos programišiai atakuoja „Mac“ vartotojus per netikrus „Zoom“ kvietimus
Saugumo tyrėjai naują „macOS“ kenkėjiškų programų kampaniją susiejo su „Lazarus Group“ – su Šiaurės Korėja siejama programišių grupuote, kuri įtariama dėl vienų didžiausių kriptovaliutų pramonės vagysčių.
Antradienį užfiksuotas naujas „Mach-O Man“ kenkėjiškų programų rinkinys platinamas pasitelkiant socialinės inžinerijos schemą „ClickFix“. Apie tai pranešė puolamojo saugumo ekspertas Mauro Eldritch, grėsmių žvalgybos bendrovės „BCA Ltd.“ įkūrėjas.
Pasak jo, aukos įviliojamos į netikrą „Zoom“ arba „Google Meet“ susitikimą. Jo metu žmonės raginami vykdyti komandas, kurios fone atsisiunčia kenkėjišką programą. Taip užpuolikai gali apeiti įprastus saugumo kontrolės mechanizmus, likti nepastebėti ir gauti prieigą prie prisijungimo duomenų bei įmonės sistemų.
Tyrėjai teigia, kad ši kampanija gali baigtis paskyrų perėmimu, neteisėta prieiga prie infrastruktūros, finansiniais nuostoliais ir kritinių duomenų atskleidimu. Tai rodo, kad „Lazarus Group“ plečia taikinius ir neapsiriboja vien kripto sektoriaus įmonėmis.
„Lazarus Group“ minima kaip pagrindinis įtariamasis kai kuriuose didžiausiuose kriptovaliutų įsilaužimuose. Tarp jų – 2025 m. įvykdytas 1,4 mlrd. JAV dolerių vertės įsilaužimas į biržą „Bybit“, kuris laikomas didžiausiu pramonėje iki šiol.
„Mach-O Man“ rinkinio tikslas – paslėptai įdiegti duomenų vagiklį
Paskutinis kampanijos etapas – vadinamasis duomenų vagiklis (stealer), skirtas iš užkrėstų įrenginių ištraukti naršyklės plėtinių duomenis, išsaugotus naršyklės prisijungimo vardus ir slaptažodžius, slapukus, „macOS Keychain“ įrašus bei kitą jautrią informaciją.
Surinkti duomenys archyvuojami į „zip“ failą ir išsiunčiami užpuolikams per „Telegram“. Galiausiai savęs pašalinimo scenarijus ištrina visą rinkinį naudodamas sistemos komandą „rm“, kuri leidžia pašalinti failus apeinant papildomus vartotojo patvirtinimus.
Pranešama, kad šį naują kenkėjiškų programų rinkinį saugumo ekspertas atkūrė pasitelkęs debesijos pagrindu veikiančios kenkėjiškų programų smėliadėžės „Any.run“ „macOS“ analizės galimybes.
Primename, kad anksčiau balandį su Šiaurės Korėja siejami programišiai, naudodami dirbtiniu intelektu paremtas socialinės inžinerijos taktikas, pasisavino apie 100 tūkst. JAV dolerių vertės lėšų iš kriptovaliutų piniginės „Zerion“. Teigiama, jog jiems pavyko gauti prieigą prie dalies komandos narių prisijungusių sesijų, prisijungimo duomenų ir bendrovės privačių raktų.
