RustyAttr Mac Malware
Forskare har identifierat att hotaktörer nu använder en innovativ metod som drar fördel av utökade attribut i macOS-filer för att dölja ett nytt hot som kallas RustyAttr.
Denna nya kampanj har rimligen kopplats till den välkända Lazarus Group , som är associerad med Nordkorea. Tillskrivningen är baserad på observerade likheter i infrastruktur och taktik relaterade till tidigare kampanjer, inklusive RustBucket.
Utökade attribut hänvisar till kompletterande metadata kopplade till filer och kataloger, som kan nås med ett kommando som kallas xattr. Dessa attribut används vanligtvis för att lagra information utöver standarddetaljer som filstorlek, tidsstämplar och behörigheter.
Hotande applikationer delar flera anslutningar
Forskare har avslöjat hotfulla applikationer skapade med Tauri, ett plattformsoberoende ramverk för stationära applikationer, och undertecknat med ett läckt certifikat som Apple sedan dess har återkallat. Dessa applikationer inkluderar ett utökat attribut utformat för att hämta och köra ett skalskript.
När skalskriptet körs aktiverar det också ett lockbete som är avsett att avleda uppmärksamheten. Detta lockbete kan visa ett felmeddelande som säger "Denna app stöder inte den här versionen" eller visa en ofarlig PDF relaterad till spelprojektutveckling och finansiering.
Hur RustyAttr-attacken fortskrider
När applikationen startas försöker Tauri-ramverket att visa en HTML-webbsida med en WebView, där hotaktören väljer en slumpmässig mall som kommer från Internet.
Det som är särskilt anmärkningsvärt är att dessa webbsidor är utformade för att ladda osäkra JavaScript, som extraherar innehållet i de utökade attributen och exekverar det via en Rust-backend. Den falska webbsidan visas dock endast om inga utökade attribut finns.
Kampanjens slutmål är fortfarande osäkert, särskilt eftersom det inte finns några bevis på ytterligare nyttolaster eller bekräftade offer.
Tack och lov erbjuder macOS-system ett visst skydd mot de upptäckta proverna. För att initiera attacken skulle användare behöva inaktivera Gatekeeper genom att kringgå de inbyggda säkerhetsåtgärderna för skadlig programvara. En viss nivå av användarinteraktion och social ingenjörskonst kommer sannolikt att krävas för att övertyga offren att vidta dessa åtgärder.
