بدافزار RustyAttr Mac
محققان تشخیص دادهاند که عوامل تهدید اکنون از روشی نوآورانه استفاده میکنند که از ویژگیهای توسعهیافته در فایلهای macOS برای پنهان کردن تهدید جدیدی به نام RustyAttr استفاده میکند.
این کمپین جدید به طور منطقی با گروه معروف لازاروس که با کره شمالی مرتبط است، مرتبط است. این انتساب بر اساس شباهت های مشاهده شده در زیرساخت ها و تاکتیک های مربوط به کمپین های قبلی، از جمله RustBucket است.
ویژگیهای توسعهیافته به ابردادههای تکمیلی مرتبط با فایلها و دایرکتوریها اشاره دارد که با استفاده از دستوری به نام xattr قابل دسترسی هستند. این ویژگیها معمولاً برای ذخیره اطلاعات فراتر از جزئیات استاندارد مانند اندازه فایل، مهرهای زمانی و مجوزها استفاده میشوند.
برنامه های تهدید کننده چندین اتصال را به اشتراک می گذارند
محققان برنامههای تهدیدآمیز ایجاد شده با Tauri را کشف کردهاند، چارچوبی بین پلتفرمی برای برنامههای دسکتاپ، و با استفاده از یک گواهی فاش شده که اپل آن را لغو کرده است، امضا کردهاند. این برنامه ها شامل یک ویژگی توسعه یافته است که برای بازیابی و اجرای یک اسکریپت پوسته طراحی شده است.
هنگامی که اسکریپت پوسته اجرا می شود، یک طعمه را نیز فعال می کند که برای منحرف کردن توجه است. این فریب ممکن است یک پیام خطایی مبنی بر این که "این برنامه از این نسخه پشتیبانی نمی کند" ارائه دهد یا یک PDF بی ضرر مربوط به توسعه و تامین مالی پروژه بازی را نمایش دهد.
چگونه حمله RustyAttr ادامه می یابد
هنگامی که برنامه راه اندازی می شود، چارچوب Tauri سعی می کند یک صفحه وب HTML را با استفاده از WebView نمایش دهد، و عامل تهدید یک الگوی تصادفی را انتخاب می کند که منبع آن از اینترنت است.
نکته قابل توجه این است که این صفحات وب برای بارگذاری جاوا اسکریپت ناامن طراحی شده اند که محتوای ویژگی های توسعه یافته را استخراج می کند و آن را از طریق یک باطن Rust اجرا می کند. با این حال، صفحه وب جعلی تنها در صورتی نشان داده می شود که هیچ ویژگی توسعه یافته وجود نداشته باشد.
هدف نهایی این کمپین نامشخص است، به ویژه از آنجایی که هیچ مدرکی از محموله های اضافی یا قربانیان تایید شده وجود ندارد.
خوشبختانه سیستمهای macOS در برابر نمونههای کشفشده محافظت میکنند. برای شروع حمله، کاربران باید با دور زدن محافظهای بدافزار داخلی، Gatekeeper را غیرفعال کنند. برای متقاعد کردن قربانیان به انجام این اقدامات، احتمالاً سطحی از تعامل کاربر و مهندسی اجتماعی لازم است.
