Cửa sau SpectralBlur

Các chuyên gia an ninh mạng đã phát hiện ra một cửa hậu macOS mới của Apple có tên SpectralBlur. Cửa hậu này thể hiện những điểm tương đồng với một dòng phần mềm độc hại được công nhận có liên quan đến các tác nhân đe dọa Triều Tiên.

SpectralBlur là một backdoor khá thành thạo với khả năng tải lên và tải xuống các tệp, thực thi các lệnh shell, sửa đổi cấu hình của nó, xóa các tệp cũng như chuyển sang chế độ ngủ đông hoặc ngủ. Điểm đặc biệt của phần mềm độc hại này nằm ở nỗ lực cản trở việc phân tích và trốn tránh sự phát hiện. Nó đạt được điều này bằng cách sử dụng hàm Grantpt để thiết lập một thiết bị đầu cuối giả, qua đó nó thực thi các lệnh shell nhận được từ máy chủ Command-and-Control (C2).

Điểm tương đồng giữa SpectralBlur và phần mềm độc hại macOS khác

Phần mềm độc hại SpectralBlur có biểu hiện giống với KANDYKORN (còn được công nhận là SockRacket), một phần mềm cấy ghép tiên tiến hoạt động như một trojan truy cập từ xa được thiết kế để nắm quyền kiểm soát các máy chủ bị xâm nhập. Đáng chú ý, các hoạt động của KANDYKORN xen kẽ với một chiến dịch khác do nhóm phụ Lazarus BlueNoroff (còn được xác định là TA444) thực hiện. Chiến dịch này liên quan đến việc triển khai một cửa sau có tên RustBucket và tải trọng giai đoạn cuối được gọi là ObjCShellz .

Trong những quan sát gần đây, tác nhân đe dọa đã kết hợp các yếu tố từ hai chuỗi lây nhiễm này. Cụ thể, họ sử dụng ống nhỏ giọt RustBucket để phân phối KANDYKORN. Sự hội tụ này làm tăng khả năng các nhà phát triển khác nhau có thể đã xây dựng KANDYKORN và SpectralBlur với các yêu cầu tương tự nhau, do những điểm tương đồng về chức năng của chúng.

Tội phạm mạng tiếp tục thể hiện sự tập trung ngày càng tăng vào các thiết bị macOS

Các nhóm tội phạm mạng đang ngày càng tập trung nỗ lực vào việc nhắm mục tiêu vào các thiết bị macOS bằng phần mềm độc hại, phản ánh xu hướng ngày càng đa dạng hóa các phương thức tấn công của chúng nhằm khai thác các lỗ hổng trong hệ điều hành của Apple. Một số yếu tố góp phần vào sự thay đổi trọng tâm này:

• Tăng trưởng thị phần : Khi mức độ phổ biến của các thiết bị macOS, chẳng hạn như máy tính xách tay MacBook và máy tính để bàn iMac, tiếp tục tăng lên, tội phạm mạng coi cơ sở người dùng ngày càng mở rộng là mục tiêu hấp dẫn. Với việc ngày càng có nhiều cá nhân và doanh nghiệp sử dụng các sản phẩm của Apple, tác động tiềm tàng của phần mềm độc hại dành riêng cho macOS sẽ trở nên đáng kể hơn.
• Bảo mật nhận thức : Trong lịch sử, macOS được coi là an toàn hơn các hệ điều hành khác, chẳng hạn như Windows. Tuy nhiên, nhận thức này đã dẫn đến cảm giác tự mãn ở một số người dùng macOS, khiến họ trở thành mục tiêu dễ dàng hơn. Tội phạm mạng lợi dụng quan niệm sai lầm rằng các thiết bị Apple miễn nhiễm với phần mềm độc hại, khai thác mọi lỗ hổng bảo mật có thể tồn tại.
• Các mối đe dọa liên tục nâng cao (APT) : Các tác nhân quốc gia và các nhóm hack tinh vi đang ngày càng sử dụng các chiến thuật nâng cao để xâm nhập vào môi trường macOS. Những tác nhân đe dọa này thường phát triển phần mềm độc hại tùy chỉnh được thiết kế riêng cho macOS, tập trung vào các kỹ thuật lén lút, kiên trì và lẩn tránh để không bị phát hiện trong thời gian dài.
• Tấn công đa nền tảng : Một số tội phạm mạng đã áp dụng chiến lược đa nền tảng, phát triển phần mềm độc hại có thể nhắm mục tiêu vào cả hệ thống macOS và Windows. Cách tiếp cận này cho phép họ tối đa hóa tác động của các chiến dịch bằng cách khai thác các lỗ hổng trên nhiều hệ điều hành khác nhau trong mạng mục tiêu.
• Động lực kinh tế : Vì người dùng macOS thường có địa vị kinh tế xã hội cao hơn nên tội phạm mạng có thể coi họ là mục tiêu sinh lợi hơn. Gian lận tài chính, tấn công ransomware và các hình thức tội phạm mạng khác có thể mang lại lợi nhuận cao hơn khi nhắm vào các cá nhân hoặc tổ chức sử dụng thiết bị Apple.
• Khai thác điểm yếu của hệ sinh thái Apple : Bản chất liên kết của hệ sinh thái Apple, bao gồm iCloud và các dịch vụ khác, tạo cơ hội cho tội phạm mạng tận dụng điểm yếu. Việc xâm phạm một thiết bị có thể dẫn đến truy cập trái phép vào các thiết bị được liên kết khác và thông tin nhạy cảm.
• Cửa hàng ứng dụng và nội dung tải xuống của bên thứ ba : Người dùng tải xuống ứng dụng từ các cửa hàng ứng dụng không được kiểm tra hoặc các nguồn trái phép có thể vô tình tiếp xúc với phần mềm độc hại. Tội phạm mạng thường ngụy trang phần mềm độc hại thành các ứng dụng hợp pháp, lợi dụng những người dùng tìm kiếm phần mềm bên ngoài App Store chính thức của Apple.

Để chống lại mối đe dọa đang gia tăng này, người dùng macOS nên ưu tiên các biện pháp bảo mật tốt nhất, chẳng hạn như duy trì cập nhật hệ điều hành và chương trình, sử dụng phần mềm bảo mật uy tín, tránh tải xuống đáng ngờ và luôn cảnh giác trước các nỗ lực lừa đảo. Ngoài ra, Apple tiếp tục nâng cao các tính năng bảo mật của mình và cộng tác với cộng đồng an ninh mạng để giải quyết các lỗ hổng và bảo vệ người dùng khỏi các mối đe dọa ngày càng gia tăng.