RustyAttr Mac Malware
Cercetătorii au identificat că actorii amenințărilor folosesc acum o metodă inovatoare care profită de atributele extinse din fișierele macOS pentru a ascunde o nouă amenințare cunoscută sub numele de RustyAttr.
Această nouă campanie a fost legată în mod rezonabil de binecunoscutul Grup Lazăr , care este asociat cu Coreea de Nord. Atribuirea se bazează pe asemănările observate în infrastructură și tactici legate de campaniile anterioare, inclusiv RustBucket.
Atributele extinse se referă la metadate suplimentare legate de fișiere și directoare, care pot fi accesate folosind o comandă cunoscută sub numele de xattr. Aceste atribute sunt de obicei folosite pentru a stoca informații dincolo de detaliile standard, cum ar fi dimensiunea fișierului, marcajele de timp și permisiunile.
Aplicațiile amenințătoare partajează mai multe conexiuni
Cercetătorii au descoperit aplicații amenințătoare create cu Tauri, un cadru multiplatform pentru aplicații desktop, și au semnat folosind un certificat scurs pe care Apple l-a revocat de atunci. Aceste aplicații includ un atribut extins conceput pentru a prelua și executa un script shell.
Când rulează scriptul shell, activează și o momeală menită să distragă atenția. Această momeală poate prezenta un mesaj de eroare care spune „Această aplicație nu acceptă această versiune” sau poate afișa un PDF inofensiv legat de dezvoltarea și finanțarea proiectelor de jocuri.
Cum decurge atacul RustyAttr
Când aplicația este lansată, cadrul Tauri încearcă să afișeze o pagină Web HTML folosind un WebView, actorul amenințării selectând un șablon aleatoriu provenit de pe Internet.
Ceea ce este deosebit de remarcabil este faptul că aceste pagini web sunt concepute pentru a încărca JavaScript nesigur, care extrage conținutul atributelor extinse și îl execută printr-un backend Rust. Cu toate acestea, pagina web falsă este afișată numai dacă nu sunt prezente atribute extinse.
Obiectivul final al campaniei rămâne incert, mai ales că nu există dovezi de încărcături suplimentare sau victime confirmate.
Din fericire, sistemele macOS oferă o anumită protecție împotriva mostrelor descoperite. Pentru a iniția atacul, utilizatorii ar trebui să dezactiveze Gatekeeper ocolind măsurile de siguranță încorporate pentru malware. Va fi probabil necesar un anumit nivel de interacțiune cu utilizatorul și inginerie socială pentru a convinge victimele să ia aceste acțiuni.
