Вредоносное ПО для Apple MacOS нацелено на криптосообщество и инженеров
Новое вредоносное ПО, обнаруженное в macOS Apple, связанное с северокорейской хакерской группой Lazarus, как сообщается, нацелено на инженеров блокчейна платформы обмена криптовалютой.
Согласно анализу Elastic Security Labs, вредоносное ПО для macOS «KandyKorn» представляет собой скрытый бэкдор, способный извлекать данные, просматривать список каталогов, загружать/скачивать файлы, безопасно удалять, завершать процессы и выполнять команды.
Порядок выполнения вредоносного ПО для MacOS (REF7001). Источник: elastic.co
На приведенной выше блок-схеме поясняются действия, предпринимаемые вредоносным ПО для заражения и захвата компьютеров пользователей. Первоначально злоумышленники распространяли модули на основе Python через каналы Discord, выдавая себя за членов сообщества.
Атаки социальной инженерии побуждают членов сообщества загрузить вредоносный ZIP-архив под названием «Cross-platform Bridges.zip», имитирующий арбитражного бота, предназначенного для автоматического получения прибыли. Однако файл импортирует 13 вредоносных модулей, которые вместе крадут информацию и манипулируют ею.
«Мы наблюдали, как злоумышленник применил технику, которую мы ранее не видели, для достижения персистентности в macOS, известной как перехват потока выполнения», – говорится в отчете.
Криптовалютный сектор остается основной целью для группы Lazarus, в первую очередь мотивированной финансовой выгодой, а не шпионажем, другим основным направлением их деятельности.
Существование KandyKorn подчеркивает, что macOS находится в пределах досягаемости Lazarus, демонстрируя замечательную способность группы создавать сложные и незаметные вредоносные программы, специально предназначенные для компьютеров Apple.
Недавний эксплойт Unibot, популярного бота Telegram, используемого для перехвата сделок на децентрализованной бирже Uniswap, обрушил цену токена на 40% за один час.
Аналитическая компания Blockchain Scopescan предупредила пользователей Unibot о продолжающемся взломе, который позже был подтвержден официальным источником.
«Мы столкнулись с эксплойтом утверждения токена на нашем новом маршрутизаторе и приостановили работу маршрутизатора, чтобы устранить проблему», – говорится в официальном сообщении Unibot.
Unibot обязался компенсировать потери всем пользователям, потерявшим средства из-за эксплойта контракта.
