„OSX / NukeSped“

Be abejo, naudingiausia Šiaurės Korėjos įsilaužimo grupė yra „Lazarus APT“ (Advanced Persistent Threat). Saugumo ekspertai mano, kad šią įsilaužimo grupę tiesiogiai remia Šiaurės Korėjos vyriausybės ir greičiausiai mokama už tai, kad Kim Jong-unas pasiūlė. Tarp jų plataus įsilaužimo įrankių arsenalo yra „NukeSped RAT“ (Remote Access Trojan). Iki šiol „NukeSped RAT“ buvo skirta įrenginiams, kuriuose veikia tik „Windows“. Tačiau gali pasirodyti, kad „Lazarus“ įsilaužimų grupė nusprendė išplėsti savo galimybes ir pertvarkė „NukeSped RAT“, leidžiančią kelti grėsmę ir dabar taikomoms „Mac“ sistemoms. Naujojo „NukeSped RAT“ varianto pavadinimas yra OSX / NukeSped.

Dauginimo metodai

Kenkėjiškų programų tyrėjai pastebėjo du „Lazarus“ įsilaužimų grupės taikomus paplitimo metodus:

• Netikras „Adobe Flash“ failas, kuriame yra tikra programos kopija kartu su sugadintu moduliu, skirtu užkrėsti tikslinę sistemą. Kai vartotojai vykdys failą, jiems bus parodyta skaidrių demonstracija, skirta atitraukti juos, kol kenkėjiška programa vykdoma fone.
• Šlamšto el. Laiškai su pažeistu makrokomandų priedu. Pridedamas failas yra dokumento formos ir skirtas atrodyti kaip Pietų Korėjos psichologinis testas.

Kol kas atrodo, kad OSX / NukeSped kenkėjiškų programų autoriai labiau pasitiki pirmuoju metodu, nes tai yra naujausias jų panaudotas infekcijos vektorius.

Pajėgumai

Užkrėtus tikslinį kompiuterį, OSX / NukeSped grėsmė užtikrins, kad sistema išliks atkakli, kad grėsmė būtų vykdoma kiekvieną kartą, kai vartotojai pasirenka iš naujo paleisti savo Mac. Tada „OSX / NukeSped“ kenkėjiškos programos užtikrins ryšį su užpuolikų C&C („Command & Control“) serveriu, kurio adresas saugomas grėsmės konfigūracijos faile. Sėkmingai prisijungus prie C&C serverio, OSX / NukeSped grėsmė galės:

• Žudyti procesus.
• Vykdykite nuotolines komandas.
• Surinkite duomenis apie sistemos konfigūraciją, programinę ir techninę įrangą.
• Atsisiųskite failus iš nurodytų URL ir vykdykite juos.
• Įkelkite failus ir vykdykite juos.
• Patikrinkite jo konfigūraciją.
• Savarankiškas atnaujinimas.
• Tam tikrą laiką nutraukite ryšį su C&C serveriu.

„Lazarus“ įsilaužimo grupė yra grėsmės veikėjas, į kurį reikėtų žiūrėti rimtai. Pastebėtina, kad jie nusprendė pradėti taikytis prie kompiuterių, kuriuose veikia OSX, nes tai tikrai padidina jų pasiekiamumą. Įsitikinkite, kad jūsų sistemą saugo patikima apsaugos nuo kenkėjiškų programų programa, ir nepamirškite reguliariai pritaikyti atitinkamų naujinimų.