Jamf Threat Labsは、The Unarchiver、Presentify、PDFify、Magic Disk Cleaner、Sketch、SiteSucker Pro、Mole、Bartender、Disk Doctor Pro、Mp3tagなど、人気のMacアプリケーションになりすました14個の悪意あるDMGおよびPKGファイルを発見しました。
このキャンペーンは、偽の就職面接課題や悪意あるGitフック、Visual Studio Codeのタスクファイルを使用した過去の攻撃と関連があります。
攻撃者は、コーディングテストや就職応募、開発者向けタスクの一環としてソフトウェアをダウンロード・実行する可能性のある人物を標的にしています。
攻撃者は感染したプロジェクトリポジトリのみに頼るのではなく、今回はマルウェアを正規のmacOSアプリケーションに偽装しています。
悪意あるDMGファイルには、本物らしく見えるアプリケーションの改変版が含まれています。アプリケーションバンドル内には、攻撃者が.macosという名前の隠し実行ファイルを追加します。
さらに、被害者がアプリケーションを開いた際に隠しファイルをmacOSが起動するよう、アプリのInfo.plist設定も改変します。
隠しプログラムはまず、本物らしく見えるアプリから隔離属性を除去し、それをおとりとして起動します。これにより被害者には期待通りのアプリケーションが表示される一方で、バックグラウンドでは悪意ある活動が実行されます。
その後マルウェアは、ポート3000経由でステージングサーバー162.0.239[.]85に接続し、/task/macという名前のスクリプトをダウンロードします。この第一段階のスクリプトは隠しディレクトリ~/.taskを作成し、tokenlinux.shという別のシェルスクリプトを取得します。
PKGインストーラー版も同様の手法を用います。目に見えるアプリケーションを/Applicationsディレクトリにインストールする一方で、悪意あるpreinstallスクリプトを/Library/Application Support/<appname>Extra配下に配置します。
インストール後スクリプトがその隠しペイロードを起動し、同様のダウンロードチェーンを開始します。
DMG・PKGのサンプルはいずれも署名されていませんでした。macOSのGatekeeperは、署名や公証(ノータライズ)を受けていないアプリケーションをデフォルトでブロックするはずです。
しかし、被害者が手動でセキュリティ警告を回避したり、ファイルの隔離保護を解除したりした場合には、攻撃が成功する可能性があります。
研究者らは、このマルウェアがIntelベースのMac向けにコンパイルされていると指摘しています。Apple Siliconシステムでこの悪意ある実行ファイルを動作させるには、Rosetta 2のインストールが必要です。
最終段階のスクリプトは、正規のNode.jsパッケージ、悪意あるparser.jsファイル、およびpackage.jsonファイルをダウンロードします。そのうえでnpm installを実行し、JavaScriptペイロードを実行します。
このマルウェアには、ブラウザデータや暗号資産ウォレットの認証情報を窃取するために設計されたモジュールも含まれています。メモリ上のファイルをスキャンし、機密文書や特定の拡張子を探索することも可能です。
別のコンポーネントは、macOSのpbpasteコマンドを繰り返し使用してクリップボードの内容を取得し、コピーされたパスワードやウォレットアドレス、リカバリーフレーズ、機密テキストなどを窃取する恐れがあると、Jamfは述べています。
このステージングインフラは、後続のダウンロードリクエストにおいて、署名済みで有効期限の短いJSON Web Tokenを使用しています。
これらのトークンには、被害者の送信元IPアドレス、セッション識別子、タイムスタンプ、キャンペーンの段階といった詳細情報が含まれています。この設計により、攻撃者は被害者を追跡し、ペイロード配信を制御しやすくなっている可能性があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/dprk-trojanizes-macos-installers/
