Зловреден софтуер RShell
Беше разкрито, че китайски киберпрестъпници използват оръжейна версия на приложение за съобщения като начин за внедряване на заплаха от задната врата, наречена RShell. Заплахата от задната врата има версии за Linux и macOS системи. Подробности за операциите на атаката и зловредния софтуер RShell бяха публикувани в доклади от изследователи по сигурността. Според тях RShell е част от заплашителния арсенал на групата APT (Advanced Persistent Threat), проследявана като APT27 , LuckyMouse, IronTiger и Emissary Panda. Тази конкретна група за киберпрестъпления е активна повече от десетилетие и е фокусирана основно върху операции за кибершпионаж.
Хакерите са използвали троянизирана версия на приложението за съобщения „MìMì“ („mimi“ - 秘秘 – „тайна“) Electron, което се рекламира като достъпно за платформи Android, iOS, Windows и macOS. Изследователите откриха версия на Linux, която също доставя злонамерения софтуер RShell. Когато се активира повредената версия на macOS MiMi, първо се проверява дали средата отговаря на необходимите параметри - macOS (Darwin). След това ще извлече полезен товар на RShell от своя сървър за командване и управление (C2, C&C), ще го запише във временната папка, ще му даде разрешение за изпълнение и накрая ще го изпълни.
Анализът на RShell разкри, че това е заплаха от задната вратичка, оборудвана с типичните характеристики, свързани с този тип зловреден софтуер. Най-ранните образци, открити от TrendMicro, са от юни 2021 г. RShell се доставя във формат Mach-O на системи macOS и ELF на платформи Linux. Когато се активира на устройството на жертвата, заплахата ще събира различна системна информация, включително име на компютър, IP адрес, потребителско име, версия и т.н. Всички събрани данни ще бъдат опаковани в двоично JSON съобщение и предадени на C2 сървъра в некриптирана форма през TCP. Актьорите на APT заплахи могат да инструктират RShell да изпълнява команди в shell, да чете файлове, да изброява файловете и директориите в основната файлова система, да записва данни в определени файлове и др.
