Phần mềm độc hại RustyAttr Mac
Các nhà nghiên cứu đã xác định rằng kẻ tấn công hiện đang sử dụng một phương pháp cải tiến tận dụng các thuộc tính mở rộng trong tệp macOS để che giấu mối đe dọa mới có tên là RustyAttr.
Chiến dịch mới này có liên quan hợp lý đến Nhóm Lazarus nổi tiếng, có liên quan đến Bắc Triều Tiên. Sự quy kết này dựa trên những điểm tương đồng được quan sát thấy trong cơ sở hạ tầng và chiến thuật liên quan đến các chiến dịch trước đó, bao gồm cả RustBucket.
Thuộc tính mở rộng đề cập đến siêu dữ liệu bổ sung được liên kết với tệp và thư mục, có thể truy cập bằng lệnh xattr. Các thuộc tính này thường được sử dụng để lưu trữ thông tin ngoài các chi tiết tiêu chuẩn như kích thước tệp, dấu thời gian và quyền.
Các ứng dụng đe dọa chia sẻ một số kết nối
Các nhà nghiên cứu đã phát hiện ra các ứng dụng đe dọa được tạo bằng Tauri, một khuôn khổ đa nền tảng cho các ứng dụng máy tính để bàn và được ký bằng chứng chỉ bị rò rỉ mà Apple đã thu hồi. Các ứng dụng này bao gồm một thuộc tính mở rộng được thiết kế để truy xuất và thực thi một tập lệnh shell.
Khi tập lệnh shell chạy, nó cũng kích hoạt một mồi nhử nhằm chuyển hướng sự chú ý. Mồi nhử này có thể hiển thị thông báo lỗi nêu rằng "Ứng dụng này không hỗ trợ phiên bản này" hoặc hiển thị một tệp PDF vô hại liên quan đến phát triển và tài trợ cho dự án trò chơi.
Cuộc tấn công RustyAttr diễn ra như thế nào
Khi ứng dụng được khởi chạy, nền tảng Tauri sẽ cố gắng hiển thị trang web HTML bằng WebView, trong đó kẻ tấn công sẽ chọn một mẫu ngẫu nhiên có nguồn từ Internet.
Điều đáng chú ý là các trang web này được thiết kế để tải JavaScript không an toàn, trích xuất nội dung của các thuộc tính mở rộng và thực thi thông qua Rust. Tuy nhiên, trang web giả chỉ được hiển thị nếu không có thuộc tính mở rộng nào.
Mục tiêu cuối cùng của chiến dịch vẫn chưa rõ ràng, đặc biệt là vì không có bằng chứng về tải trọng bổ sung hoặc nạn nhân được xác nhận.
Rất may, hệ thống macOS cung cấp một số biện pháp bảo vệ chống lại các mẫu được phát hiện. Để bắt đầu cuộc tấn công, người dùng sẽ cần phải vô hiệu hóa Gatekeeper bằng cách bỏ qua các biện pháp bảo vệ phần mềm độc hại tích hợp. Có thể sẽ cần một số mức độ tương tác của người dùng và kỹ thuật xã hội để thuyết phục nạn nhân thực hiện các hành động này.
