NotnullOSX macOS Зловреден софтуер
notnullOSX е сложно семейство зловреден софтуер за кражба на информация, написано на езика за програмиране Go. То е предназначено да бъде насочено към потребители на macOS, със силен фокус върху кражбата на криптовалута и други чувствителни данни. Злонамерените лица обикновено го разпространяват чрез измамни кампании ClickFix и инсталационни DMG файлове, заразени с троянски коне. Ако бъде открито на някое устройство, то трябва да бъде премахнато незабавно.
Съдържание
Как работи notnullOSX след заразяване
След като бъде инсталиран и получи пълен достъп до диска, notnullOSX може да чете голяма част от файловете, съхранявани в системата. Той поддържа комуникация с отдалечен команден сървър и изтегля отделни злонамерени модули, всеки от които е създаден за конкретна задача.
Тези временни компоненти могат да се използват за кражба на пароли, копиране на файлове, събиране на идентификационни данни и разширяване на функционалността на зловредния софтуер. Тъй като модулите се извличат при необходимост, нападателите могат непрекъснато да адаптират инфекцията след първоначалното компрометиране.
Възможности за кражба на браузър и лични данни
notnullOSX е силно насочен към данни, съхранявани в основните уеб браузъри. Различни модули се използват за извличане на специфични категории информация от Google Chrome, Mozilla Firefox и Safari.
Зловредният софтуер е способен да краде:
- Запазени пароли, „бисквитки“, отметки и история на сърфиране
- Бележки, съхранени на устройството, данни от сесиите на Telegram Desktop и до 500 съобщения на разговор, включително прикачени файлове и форматиране
- SSH ключове, облачни идентификационни данни, API токени и конфигурационни файлове, запазени в домашната папка на потребителя
Тази открадната информация може да предостави на престъпниците достъп до акаунти, сървъри, облачни среди и платформи за разработка.
Криптовалутните портфейли са основна цел
Основна цел на notnullOSX е кражбата на криптовалута. Зловредният софтуер търси данни, свързани с популярен софтуер за портфейли, включително Atomic Wallet, Bitcoin Core, Electrum, Exodus и Wasabi Wallet.
Той също така сканира разширенията на портфейлите, базирани на браузър, и копира съхранената информация, включително криптирани seed фрази. Дори криптираните данни за портфейлите могат по-късно да бъдат използвани чрез атаки с пароли или по-нататъшно социално инженерство.
Функцията за замяна на приложения увеличава опасността
За разлика от много традиционни програми за кражба на код, notnullOSX може да замени легитимни приложения със злонамерени имитатори. Той може да изтегли фалшива версия на надеждно приложение, като например софтуер за портфейл, да замени оригиналното приложение и да запази същата икона и външен вид.
Когато се стартира, фалшивото приложение изглежда нормално, докато тайно събира чувствителна информация, като например фрази за възстановяване на портфейла. Тази функция може да бъде активирана или деактивирана дистанционно и обикновено се използва само когато целевото приложение вече съществува в системата на жертвата.
Повече от крадец: Поведение, подобно на плъх
notnullOSX функционира по-скоро като троянски кон за отдалечен достъп (RAT), отколкото като стандартен крадец на информация. Той поддържа постоянна връзка със своите оператори и редовно проверява за команди.
Това позволява на нападателите да:
- Изпращане на нови инструкции след заразяване
- Изтеглете и изпълнете допълнителни злонамерени модули
- Актуализирайте възможностите или разгръщайте допълнителни полезни товари
- Поддържайте дългосрочен контрол върху компрометираните системи
Поради тази гъвкавост, инфекциите могат да се развиват с течение на времето и да станат значително по-вредни.
Как се разпространява notnullOSX
Зловредният софтуер се разпространява предимно чрез атаки със социално инженерство, които манипулират потребителите да го инсталират сами. На жертвите може да се показват фалшиви проблеми, като например предупреждение за „защитен Google документ“ или съобщение за повредено приложение на macOS. След това те биват инструктирани да отстранят проблема чрез конкретни стъпки, тактика, широко известна като ClickFix .
Тези стъпки често включват изпълнение на команди в Терминал или отваряне на злонамерени DMG файлове. notnullOSX се разпространява и чрез фалшиви уебсайтове за софтуер, измамнически портали за изтегляне, отвлечени YouTube канали и фалшиви приложения, като например инструменти за тапети като „WallSpace.app“.
Някои жертви дори биват насочвани ръчно към активиране на пълен достъп до диска, което дава на зловредния софтуер широка видимост в устройството.
Окончателна оценка на сигурността
notnullOSX е изключително опасна заплаха за macOS, способна да краде данни от браузъра, криптовалутни активи, лични комуникации, материали за удостоверяване и идентификационни данни на разработчици. Модулният ѝ дизайн, постоянното дистанционно управление и функциите за подмяна на приложения я правят особено сериозна. Жертвите могат да се сблъскат с компрометиране на акаунта, кражба на самоличност, финансови загуби и по-нататъшно внедряване на зловреден софтуер. Силно се препоръчва незабавно премахване и пълен процес на нулиране на идентификационните данни след откриване.
