NotnullOSX macOS Вредоносное ПО
notnullOSX — это сложное семейство вредоносных программ, предназначенных для кражи информации и написанных на языке программирования Go. Оно разработано для пользователей macOS и ориентировано на кражу криптовалюты и других конфиденциальных данных. Злоумышленники обычно распространяют его через обманные кампании ClickFix и троянизированные установочные файлы DMG. При обнаружении на любом устройстве его следует немедленно удалить.
Оглавление
Как работает notnullOSX после заражения
После установки и предоставления полного доступа к диску notnullOSX может читать большую часть файлов, хранящихся в системе. Он поддерживает связь с удалённым командным сервером и загружает отдельные вредоносные модули, каждый из которых создан для выполнения определённой задачи.
Эти временные компоненты могут использоваться для кражи паролей, копирования файлов, сбора учетных данных и расширения функциональности вредоносного ПО. Поскольку модули загружаются по мере необходимости, злоумышленники могут постоянно адаптировать вредоносную программу после первоначального взлома.
Возможности браузера и кражи персональных данных
notnullOSX в значительной степени нацелен на данные, хранящиеся в основных веб-браузерах. Для извлечения информации определенных категорий из Google Chrome, Mozilla Firefox и Safari используются различные модули.
Вредоносная программа способна красть:
- Сохраненные пароли, файлы cookie, закладки и история просмотров.
- Заметки, хранящиеся на устройстве, данные сессии Telegram Desktop и до 500 сообщений в каждой переписке, включая вложения и форматирование.
- SSH-ключи, учетные данные для доступа к облаку, токены API и файлы конфигурации, сохраненные в домашней папке пользователя.
Украденная информация может предоставить преступникам доступ к учетным записям, серверам, облачным средам и платформам разработки.
Криптовалютные кошельки — основная цель.
Одной из главных целей notnullOSX является кража криптовалюты. Вредоносная программа ищет данные, связанные с популярными программами-кошельками, включая Atomic Wallet, Bitcoin Core, Electrum, Exodus и Wasabi Wallet.
Она также сканирует расширения кошельков, работающие в браузере, и копирует сохраненную информацию, включая зашифрованные сид-фразы. Даже зашифрованные данные кошелька могут быть впоследствии использованы для атак с использованием паролей или дальнейшей социальной инженерии.
Функция замены приложения увеличивает опасность.
В отличие от многих традиционных программ-мошенников, notnullOSX может заменять легитимные приложения вредоносными подделками. Он может загрузить поддельную версию доверенного приложения, например, программного обеспечения для кошелька, заменить оригинальное приложение, сохранив при этом тот же значок и внешний вид.
При запуске поддельное приложение выглядит как обычно, но при этом тайно собирает конфиденциальную информацию, такую как фразы для восстановления кошелька. Эту функцию можно включить или отключить удаленно, и обычно она используется только в том случае, если целевое приложение уже установлено в системе жертвы.
Больше, чем просто вор: поведение, похожее на поведение крысы.
notnullOSX функционирует скорее как троянская программа удаленного доступа (RAT), чем как стандартный информационный шпион. Она поддерживает постоянное соединение со своими операторами и регулярно проверяет наличие команд.
Это позволяет злоумышленникам:
- Отправьте новые инструкции после заражения.
- Загрузите и запустите дополнительные вредоносные модули.
- Обновить возможности или развернуть дополнительные полезные нагрузки
- Обеспечьте долгосрочный контроль над скомпрометированными системами.
Благодаря такой гибкости, инфекции могут со временем эволюционировать и становиться значительно более опасными.
Как распространяется notnullOSX
Вредоносное ПО распространяется в основном посредством атак с использованием методов социальной инженерии, которые заставляют пользователей устанавливать его самостоятельно. Жертвам могут показывать ложные проблемы, такие как предупреждение о «защищенном документе Google» или сообщение о поврежденном приложении macOS. Затем им предлагается выполнить определенные шаги для устранения проблемы — тактика, широко известная как ClickFix .
Эти шаги часто включают в себя выполнение команд в Терминале или открытие вредоносных DMG-файлов. notnullOSX также распространялась через поддельные веб-сайты программного обеспечения, мошеннические порталы загрузки, взломанные каналы YouTube и поддельные приложения, такие как инструменты для создания обоев, например, 'WallSpace.app'.
Некоторым жертвам даже предлагается вручную включить полный доступ к диску, что дает вредоносной программе широкий обзор устройства.
Итоговая оценка безопасности
notnullOSX — это крайне опасная угроза для macOS, способная красть данные браузера, криптовалютные активы, конфиденциальную переписку, данные аутентификации и учетные данные разработчиков. Ее модульная структура, постоянное удаленное управление и функции замены приложений делают ее особенно опасной. Жертвы могут столкнуться с компрометацией учетной записи, кражей личных данных, финансовыми потерями и дальнейшим распространением вредоносного ПО. После обнаружения настоятельно рекомендуется немедленно удалить вредоносную программу и выполнить полную перезагрузку учетных данных.
