OSX / NukeSped

Nordkoreas mest produktiva hackgrupp är utan tvekan Lazarus APT (Advanced Persistent Threat). Säkerhetsexperter anser att denna hacking-grupp sponsras direkt av de nordkoreanska regeringarna och troligen kommer att betalas för att göra Kim Jong-uns bud. Bland deras stora arsenal av hackverktyg är NukeSped RAT (Remote Access Trojan). Hittills har NukeSped RAT utformats för att rikta in sig på enheter som bara kör Windows. Det verkar dock som om Lazarus-hacking-gruppen har beslutat att utöka räckvidden och har omarbetat NukeSped RAT så att hotet nu också kan inriktas på Mac-system. Namnet på den nya NukeSped RAT-varianten är OSX / NukeSped.

Förökningsmetoder

Malware-forskare har upptäckt två spridningsmetoder som används av Lazarus-hacking-gruppen:

• En falsk Adobe Flash-fil som innehåller en äkta kopia av applikationen tillsammans med en skadad modul som är avsedd att infektera det riktade systemet. När användarna kör filen kommer de att presenteras med ett bildspel som är avsett att distrahera dem medan skadlig programvara körs i bakgrunden.
• Skräppostmeddelanden som innehåller en komprometterad makro-laced bilaga. Den bifogade filen har formen av ett dokument och är tänkt att verka som ett sydkoreanskt psykologtest.

För tillfället verkar det som om författarna till OSX / NukeSped skadlig kod lita mer på den första metoden, eftersom detta är den senaste infektionsvektorn de har använt.

Förmågor

Vid infektion av den riktade värden kommer OSX / NukeSped-hotet att se till att få uthållighet på systemet så att hotet körs varje gång användare väljer att starta om sin Mac. Därefter kommer OSX / NukeSped skadlig programvara att se till att upprätta en anslutning till angriparnas C&C (Command & Control) -server vars adress är lagrad i hotets konfigurationsfil. Vid anslutning till C & C-servern framgångsrikt kan OSX / NukeSped-hotet:

• Döda processer.
• Kör fjärrkommandon.
• Samla in data om systemets konfiguration, programvara och hårdvara.
• Ladda ner filer från angivna webbadresser och kör dem.
• Ladda upp filer och kör dem.
• Kontrollera dess konfiguration.
• Själv uppdateringen.
• Avsluta anslutningen till C & C-servern under en viss tid.

Lazarus-hackgruppen är en hotaktör som bör tas på allvar. Det är anmärkningsvärt att de har bestämt sig för att börja rikta in sig på maskiner som kör OSX, alltför säkert, eftersom detta utvidgar deras räckvidd betydligt. Se till att ditt system är skyddat av en ansedd anti-malware-applikation och glöm inte att tillämpa lämpliga uppdateringar regelbundet.