GIMMICK kenkėjiška programa
„Infosec“ tyrėjai aptiko anksčiau nežinomą kenkėjišką programą, nukreiptą į „MacOS“ įrenginius. Stebėta kaip GIMMICK kenkėjiška programa, grėsmė buvo priskirta Kinijos kibernetinio šnipinėjimo grupės, žinomos kaip Storm Cloud , kenkėjiško arsenalo dalimi. Išsamią informaciją apie grėsmę paskelbė mokslininkai, sugebėję išgauti kenkėjišką programą iš „MacBook Pro“ įrenginio RAM. Apskaičiuota, kad įrenginys buvo užkrėstas per šnipinėjimo kampaniją, kuri vyko 2021 m. pabaigoje.
Techninės detalės
GIMMICK kenkėjiška programa yra kelių platformų grėsmė. Jos „macOS“ variantai parašyti naudojant „Objective C“, o „Windows“ taikomi variantai sukurti naudojant .NET ir Delphi. Nepaisant tam tikrų kodų skirtumų, visuose variantuose yra vienodi elgesio modeliai, komandų ir valdymo (C2, C&C) infrastruktūra ir failų keliai. Taip pat reikėtų pažymėti, kad kenkėjiška programa labai piktnaudžiauja „Google“ disko paslaugomis.
Įdiegęs tikslinėse sistemose, GIMMICK įkelia tris atskirus kenkėjiškų programų komponentus – DriveManager, FileManager ir GCDTimerManager. Komponentų pavadinimai atspindi jų užduotis ir funkcijas. „FileManager“ valdo vietinį katalogą, kuriame yra C2 informacija ir duomenys, susiję su komandų užduotimis. GCDTimerManger prižiūri reikalingų GCD objektų valdymą. Kita vertus, „DriveManager“ yra atsakinga už įvairius su „Google“ disku susijusius veiksmus. Tiksliau, jis tvarko „Google“ disko ir tarpinio serverio seansus, tvarko vietinį konkrečios „Google“ disko katalogo hierarchijos žemėlapį, tvarko visas atsisiuntimo ir įkėlimo užduotis per „Google“ disko sesiją ir dar daugiau.
Grėsmingos komandos
Tyrėjų teigimu, dėl asinchroninio visos GIMMICK kenkėjiškos programos veiklos pobūdis būtinas etapinis komandų vykdymo metodas. Šios komandos perduodamos į sistemą AES užšifruota forma ir iš viso yra septynios. Grėsmės veikėjas gali nurodyti kenkėjiškajai programai perduoti bazinę sistemos informaciją apie pažeistą įrenginį, įkelti failus į C2 serverius arba atsisiųsti pasirinktus failus į užkrėstą sistemą, vykdyti apvalkalo komandas ir kt.
