OSX / NukeSped

Nordkoreas mest produktive hackinggruppe er utvivlsomt Lazarus APT (Advanced Persistent Threat). Sikkerhedseksperter mener, at denne hackinggruppe er sponsoreret af de nordkoreanske regeringsmænd direkte og betaler sandsynligvis for at gøre Kim Jong-uns bud. Blandt deres store arsenal af hackingværktøjer er NukeSped RAT (Remote Access Trojan). Indtil videre var NukeSped RAT designet til at målrette mod enheder, der kun kører Window. Det ser dog ud til, at Lazarus-hacking-gruppen har besluttet at udvide rækkevidden og har redesignet NukeSped RAT, så truslen nu også kan målrette mod Mac-systemer. Navnet på den nye NukeSped RAT-variant er OSX / NukeSped.

Formeringsmetoder

Malware-forskere har fundet to formeringsmetoder anvendt af Lazarus-hacking-gruppen:

• En forfalsket Adobe Flash-fil, der indeholder en ægte kopi af applikationen sammen med et beskadiget modul, der er beregnet til at inficere det målrettede system. Når brugerne kører filen, får de vist et lysbilledshow, der er beregnet til at distrahere dem, mens malware køres i baggrunden.
• Spam-e-mails, der indeholder en kompromitteret makro-sned vedhæftning. Den vedhæftede fil er i form af et dokument og er beregnet til at virke som en sydkoreansk psykologisk test.

For øjeblikket ser det ud til, at forfatterne af OSX / NukeSped malware stoler mere på den første metode, da dette er den seneste infektionsvektor, de har brugt.

Capabilities

Når inficeret den målrettede vært inficeres, vil OSX / NukeSped-truslen sørge for at få vedholdenhed på systemet, så truslen udføres, hver gang brugerne vælger at genstarte deres Mac. Dernæst sørger OSX / NukeSped-malware for at etablere en forbindelse med angribernes C&C (Command & Control) -server, hvis adresse er gemt i trusselens konfigurationsfil. Når forbindelsen til C & C-serveren er vellykket, kan OSX / NukeSped-truslen være i stand til:

• Dræb processer.
• Udfør fjernkommandoer.
• Saml data om systemets konfiguration, software og hardware.
• Download filer fra specificerede webadresser, og udfør dem.
• Upload filer, og udfør dem.
• Kontroller dens konfiguration.
• Self-opdatering.
• Afslut forbindelsen til C & C-serveren i en bestemt varighed.

Lazarus-hacking-gruppen er en trusselskuespiller, der bør tages alvorligt. Det er bemærkelsesværdigt, at de har bestemt sig for at begynde at målrette maskiner, der kører OSX, alt for sikkert, da dette udvider deres rækkevidde markant. Sørg for, at dit system er beskyttet af en velrenommeret anti-malware-applikation, og glem ikke at anvende de relevante opdateringer regelmæssigt.