NotnullOSX macOS Zlonamjerni softver

notnullOSX je sofisticirana obitelj zlonamjernog softvera za krađu informacija napisana u programskom jeziku Go. Dizajnirana je za ciljanje korisnika macOS-a, s jakim fokusom na krađu kriptovaluta i drugih osjetljivih podataka. Akteri prijetnji obično ga distribuiraju putem obmanjujućih ClickFix kampanja i trojanskih DMG instalacijskih datoteka. Ako se otkrije na bilo kojem uređaju, treba ga bez odgode ukloniti.

Kako notnullOSX funkcionira nakon infekcije

Nakon što je instaliran i odobren mu je puni pristup disku, notnullOSX može čitati veliki dio datoteka pohranjenih na sustavu. Održava komunikaciju s udaljenim naredbenim poslužiteljem i preuzima odvojene zlonamjerne module, svaki izgrađen za određeni zadatak.

Ove privremene komponente mogu se koristiti za krađu lozinki, kopiranje datoteka, prikupljanje vjerodajnica i proširenje funkcionalnosti zlonamjernog softvera. Budući da se moduli dohvaćaju po potrebi, napadači mogu kontinuirano prilagođavati infekciju nakon početnog kompromitiranja.

Mogućnosti krađe preglednika i osobnih podataka

notnullOSX snažno cilja podatke pohranjene u glavnim web preglednicima. Različiti moduli koriste se za izdvajanje određenih kategorija informacija iz Google Chromea, Mozilla Firefoxa i Safarija.

Zlonamjerni softver može ukrasti:

• Spremljene lozinke, kolačići, oznake i povijest pregledavanja
• Bilješke pohranjene na uređaju, podaci sesije Telegram Desktopa i do 500 poruka po razgovoru, uključujući privitke i formatiranje
• SSH ključevi, vjerodajnice za oblak, API tokeni i konfiguracijske datoteke spremljene u početnoj mapi korisnika

Ove ukradene informacije mogu kriminalcima omogućiti pristup računima, poslužiteljima, cloud okruženjima i razvojnim platformama.

Kripto novčanici su primarna meta

Glavni cilj notnullOSX-a je krađa kriptovaluta. Zlonamjerni softver traži podatke povezane s popularnim softverom za novčanike, uključujući Atomic Wallet, Bitcoin Core, Electrum, Exodus i Wasabi Wallet.

Također skenira proširenja novčanika u pregledniku i kopira pohranjene informacije, uključujući šifrirane početne fraze. Čak se i šifrirani podaci novčanika kasnije mogu iskoristiti putem napada lozinkom ili daljnjeg društvenog inženjeringa.

Funkcija zamjene aplikacija povećava opasnost

Za razliku od mnogih tradicionalnih kradljivaca aplikacija, notnullOSX može zamijeniti legitimne aplikacije zlonamjernim sličnim aplikacijama. Može preuzeti lažnu verziju pouzdane aplikacije, poput softvera za novčanik, zamijeniti originalnu aplikaciju i zadržati istu ikonu i izgled.

Kada se pokrene, krivotvorena aplikacija izgleda normalno dok potajno prikuplja osjetljive podatke poput fraza za oporavak novčanika. Ova se značajka može daljinski omogućiti ili onemogućiti i obično se koristi samo kada ciljana aplikacija već postoji na sustavu žrtve.

Više od kradljivca: Ponašanje slično ŠTAKORU

notnullOSX funkcionira više kao trojanac za udaljeni pristup (RAT) nego kao standardni kradljivac informacija. Održava trajnu vezu sa svojim operaterima i redovito provjerava naredbe.

To omogućuje napadačima da:

• Pošalji nove upute nakon infekcije
• Preuzimanje i izvršavanje dodatnih zlonamjernih modula
• Ažurirajte mogućnosti ili implementirajte dodatne korisne terete
• Održavajte dugoročnu kontrolu nad kompromitiranim sustavima

Zbog te fleksibilnosti, infekcije se s vremenom mogu razvijati i postati znatno štetnije.

Kako se distribuira notnullOSX

Zlonamjerni softver se prvenstveno širi putem napada socijalnog inženjeringa koji manipuliraju korisnicima da ga sami instaliraju. Žrtvama se mogu prikazivati lažni problemi, poput upozorenja o 'zaštićenom Google dokumentu' ili poruke o oštećenoj macOS aplikaciji. Zatim im se upućuje da riješe problem određenim koracima, taktika poznata kao ClickFix .

Ti koraci često uključuju izvršavanje naredbi u Terminalu ili otvaranje zlonamjernih DMG datoteka. notnullOSX se također distribuira putem lažnih web stranica sa softverom, lažnih portala za preuzimanje, otetih YouTube kanala i lažnih aplikacija poput alata za pozadine poput 'WallSpace.app'.

Neke žrtve su čak vođene kroz ručni postupak omogućavanja potpunog pristupa disku, što zlonamjernom softveru daje široku vidljivost uređaja.

Završna sigurnosna procjena

notnullOSX je vrlo opasna prijetnja za macOS koja može ukrasti podatke preglednika, kriptovalute, privatnu komunikaciju, autentifikacijski materijal i vjerodajnice programera. Njegov modularni dizajn, trajna daljinska kontrola i značajke zamjene aplikacija čine ga posebno ozbiljnim. Žrtve se mogu suočiti s kompromitiranjem računa, krađom identiteta, financijskim gubitkom i daljnjim postavljanjem zlonamjernog softvera. Nakon otkrivanja toplo se preporučuje trenutno uklanjanje i potpuni postupak resetiranja vjerodajnica.