1707708142
2024-02-09 16:17:28
新たに特定された Rust で書かれた macOS バックドアは、著名なランサムウェア ファミリである Black Basta および Alphv/BlackCat に関連しているようだと、サイバーセキュリティ企業 Bitdefender が報告しています。
マルウェアと呼ばれる ラストドアは、Visual Studio を偽装し、Intel と Arm の両方のアーキテクチャをサポートしており、2023 年 11 月から出回っているようですが、約 3 か月間検出されませんでした。
Bitdefender は、このマルウェアの亜種をいくつか特定しました。それらはわずかな違いはあるものの、すべて同じバックドア機能を共有しています。
分析されたすべてのサンプルは、ファイルを収集および抽出し、感染したマシンに関する詳細を収集するための複数のコマンドをサポートしています。 情報はコマンドアンドコントロール (C&C) サーバーに送信され、その後の通信で使用される被害者 ID が生成されます。
2023 年 11 月に出現したバックドアの最初の亜種は、おそらく完全な永続化メカニズムが欠如し、「test」という名前の plist ファイルも含まれていたテスト バージョンでした。
11 月末に初めて確認された 2 番目の亜種には、より大きなファイルが含まれており、複雑な JSON 構成と、ドキュメント フォルダーとデスクトップ フォルダーから特定のドキュメントを抽出するための Apple スクリプトと、ユーザーのメモが含まれていました。
マルウェアはドキュメントを隠しフォルダーにコピーし、ZIP アーカイブに圧縮してから C&C サーバーに送信します。
Bitdefender は、RustDoor の設定ファイルに、別のアプリケーションになりすますオプションと、なりすましの管理者パスワード ダイアログをカスタマイズするオプションが含まれていることを発見しました。
「一部の構成には、ファイルの最大サイズや最大数など、収集するデータに関する具体的な指示や、対象となる拡張子とディレクトリ、または除外するディレクトリのリストも含まれています」と Bitdefender は説明します。
JSON 構成は、cronjob の使用、LaunchAgents (ログイン時に実行される) の使用、新しい ZSH セッションが開かれたときに確実に実行されるようにファイルを変更すること、およびバイナリをドックに追加することによる 4 つの永続化メカニズムも参照します。
Bitdefender は、オリジナルのものと思われるバックドアの 3 番目の亜種も特定しました。 11 月 2 日に初めて確認されましたが、複雑さ、Apple スクリプト、埋め込み設定が不足していました。
Bitdefender によると、RustDoor は以前に関連付けられていた 3 つの C&C サーバーを使用しています ブラック・イナフ そして アルフヴ/ブラックキャット ランサムウェアキャンペーン。 2021 年 11 月に初めて確認された BlackCat は、Rust プログラミング言語で書かれた最初のファイル暗号化ランサムウェアです。 2023 年 12 月に廃止されました。
関連している： 北朝鮮のハッカーが新たな「RustBucket」マルウェアでMacユーザーを狙う
関連している： 回避的なRustコード化されたHiveランサムウェアの亜種が出現
#新しい #macOS #バックドアが著名なランサムウェア #グループにリンク