RustyAttr Mac Malware
Изследователите са установили, че участниците в заплахите сега използват иновативен метод, който се възползва от разширените атрибути във файловете на macOS, за да прикрие нова заплаха, известна като RustyAttr.
Тази нова кампания е основателно свързана с добре известната Lazarus Group , която е свързана със Северна Корея. Приписването се основава на наблюдавани прилики в инфраструктурата и тактиките, свързани с по-ранни кампании, включително RustBucket.
Разширените атрибути се отнасят до допълнителни метаданни, свързани с файлове и директории, които могат да бъдат достъпни с помощта на команда, известна като xattr. Тези атрибути обикновено се използват за съхраняване на информация извън стандартните подробности като размер на файла, времеви клейма и разрешения.
Заплашващите приложения споделят няколко връзки
Изследователите са открили заплашителни приложения, създадени с Tauri, междуплатформена рамка за настолни приложения, и подписани с помощта на изтекъл сертификат, който Apple впоследствие отмени. Тези приложения включват разширен атрибут, предназначен да извлича и изпълнява shell скрипт.
Когато скриптът на обвивката се изпълнява, той също така активира примамка, предназначена да отклони вниманието. Тази примамка може да представи съобщение за грешка, което гласи: „Това приложение не поддържа тази версия“ или да покаже безобиден PDF файл, свързан с разработването и финансирането на проекти за игри.
Как протича атаката RustyAttr
Когато приложението се стартира, рамката Tauri се опитва да покаже HTML уеб страница с помощта на WebView, като актьорът на заплахата избира произволен шаблон, получен от Интернет.
Особено забележително е, че тези уеб страници са проектирани да зареждат опасен JavaScript, който извлича съдържанието на разширените атрибути и го изпълнява чрез бекенда на Rust. Фалшивата уеб страница обаче се показва само ако не присъстват разширени атрибути.
Крайната цел на кампанията остава несигурна, особено след като няма доказателства за допълнителни полезни товари или потвърдени жертви.
За щастие, системите macOS предлагат известна защита срещу откритите проби. За да започнат атаката, потребителите ще трябва да деактивират Gatekeeper, като заобиколят вградените предпазни мерки за зловреден софтуер. Вероятно ще е необходимо известно ниво на взаимодействие с потребителите и социално инженерство, за да се убедят жертвите да предприемат тези действия.
