macOS Trojan Upgrades: Mở rộng thông qua Signed App, mã hóa người dùng phải đối mặt với nhiều rủi ro bí mật hơn

BlockBeats News, December 23, SlowMist Chief Security Officer 23pds chia sẻ một bài đăng nói rằng MacSync Stealer malware hoạt động trên nền tảng macOS đã trải qua sự tiến hóa đáng kể, với tài sản người dùng đã bị đánh cắp. Bài báo mà ông chia sẻ đề cập đến việc từ sự phụ thuộc sớm hơn vào "draw-and-drop to Terminal" và "ClickFix" và các phương pháp kích thích ngưỡng thấp khác, nó đã được nâng cấp thành ký mã và thông qua các ứng dụng Swift của Apple, cải thiện đáng kể tính bí mật của nó.

Các nhà nghiên cứu phát hiện ra rằng mẫu này đang được lan truyền dưới dạng hình ảnh đĩa có tên zk-call-messenger-installer-3.9.2-lts.dmg, được giả vờ là ứng dụng nhắn tin tức thời hoặc tiện ích để khiến người dùng tải xuống. Không giống như trước đây, phiên bản mới không còn yêu cầu bất kỳ hoạt động đầu cuối nào của người dùng, nhưng được kéo và thực hiện bởi một trợ lý Swift tích hợp từ một máy chủ từ xa để hoàn thành quá trình trộm cắp thông tin.

Phần mềm độc hại này đã được Apple ký mã và công chứng, với ID nhóm phát triển là GNJLS3UYZ4, và hash liên quan đã không được Apple thu hồi trong quá trình phân tích. Điều này có nghĩa là nó có "mức độ tin cậy" cao hơn theo cơ chế bảo mật mặc định của macOS, làm cho nó dễ dàng hơn để bỏ qua sự cảnh giác của người dùng. Nghiên cứu cũng phát hiện ra rằng tệp DMG là lớn bất thường, chứa các tệp decoy liên quan đến LibreOffice PDF, trong số những thứ khác, để giảm thêm sự nghi ngờ.

Các nhà nghiên cứu bảo mật chỉ ra rằng trojan ăn cắp thông tin thường nhắm vào dữ liệu trình duyệt, tài khoản và thông tin ví tiền mã hóa. Khi phần mềm độc hại bắt đầu lạm dụng hệ thống cơ chế ký tên và công chứng của Apple, người dùng tiền điện tử trong môi trường macOS đang phải đối mặt với nguy cơ ngày càng tăng của phishing và rò rỉ private key.

Người dùng được khuyên nên đảm bảo rằng phòng ngừa mối đe dọa và kiểm soát mối đe dọa tiên tiến được bật trong Jamf cho Mac và đặt vào chế độ chặn để bảo vệ chống lại các biến thể mới nhất của phần mềm độc hại đánh cắp thông tin.