MacOS platformu için birden fazla bilgi çalma, güvenlik şirketleri yeni varyantları sık sık takip edip rapor etse bile algılamadan kaçınma yeteneğini göstermiştir.
SentinelOne'un bir raporu, MacOS'un yerleşik kötü amaçlı yazılım önleyici sistemi XProtect'ten kaçınabilen üç önemli kötü amaçlı yazılım örneği ile sorunu vurgulamaktadır.
Xprotect, bilinen kötü amaçlı yazılım imzaları için indirilen dosyaları ve uygulamaları tararken arka planda çalışır.
Apple, aracın kötü amaçlı yazılım veritabanını sürekli olarak güncellemesine rağmen, SentinelOne, info-stajyerlerin kötü amaçlı yazılım yazarlarının hızlı yanıtı sayesinde neredeyse anında atladığını söylüyor.
Sentinelone'un raporundaki ilk örnek, ilk olarak 2021'de belgelenen ve o zamandan beri önemli ölçüde gelişen bir kötü amaçlı yazılımdır.
Şu anda, 'unixproject' veya 'chatgpt' adlı Xcode tarafından yapılmış bir Mach-O ikili olarak dağıtılmaktadır ve kalıcılık ve anahtarlık bilgilerini çalmaya çalışıyor.
Keychain, MacOS'un kimlik bilgileri, özel anahtarlar, sertifikalar ve notlar için güvenli bir depolama görevi gören yerel şifre yönetim sistemidir.
Apple en son Şubat 2023'te KeySteal imzasını güncelledi, ancak kötü amaçlı yazılımlar o zamandan beri Xprotect ve çoğu AV motoru tarafından tespit edilememek için yeterli değişiklik aldı.
Sadece mevcut zayıflığı, sabit kodlu komut ve kontrol (C2) adresleri kullanmaktır, ancak Sentinelone, Keysteal'ın içerik oluşturucularının bir rotasyon mekanizması uygulamasının sadece bir zaman meselesi olduğuna inanmaktadır.
Kaçma örneği olarak vurgulanan bir sonraki kötü amaçlı yazılım, ilk olarak Mayıs 2023'te Sentinelone tarafından yeni bir GO tabanlı stealer olarak belgelenen ve Kasım 2023'te Malwarebytes tarafından yeniden ziyaret edilen Atomic Stealer.
Apple en son XPROTECT'in bu ay imzalarını ve algılama kurallarını güncelledi, ancak Sentinelone, tespitten kaçınabilecek C ++ varyantlarını zaten gözlemleyen raporlar.
En son Atomik Stealer versiyonu, veri çalma mantığını ortaya çıkaran, VM anti-kontrolleri içeren ve terminalin birlikte yürütülmesini önleyen ClearText Applescript ile kod obfusation'ın yerini aldı.
Rapordaki üçüncü örnek, ilk olarak 9 Eylül 2023'te Wild'da görülen 'Gary Stealer' veya 'Jasgogo' olarak da bilinen Cherrypie'dir.
GO tabanlı platformlar arası kötü amaçlı yazılım, anti-analizi ve sanal makine algılama, wail ambalaj, geçici imzalar ve yönetici ayrıcalıklarını kullanarak ağ geçidi şirketlerini devre dışı bırakan bir sisteme sahiptir.
İyi haber şu ki, Apple, Aralık 2023'ün başlarında Cherrypie için XProtect imzalarını güncelledi ve bu da yeni yinelemeler için bile gerçekten iyi çalışıyor. Ancak, kötü amaçlı yazılım algılamaları virüs toplamında da ücret almaz.
Yukarıdakilerden, tespit etmekten kaçınmak amacıyla kötü amaçlı yazılımların sürekli geliştirilmesinin, bunu kullanıcılar ve işletim sistemi satıcıları için riskli bir Whack-Mole oyunu haline getirdiği açıktır.
Sadece güvenlik için statik tespite güvenmek yetersiz ve potansiyel olarak risklidir. Daha sağlam bir yaklaşım, gelişmiş dinamik veya sezgisel analiz yetenekleriyle donatılmış antivirüs yazılımını içermelidir.
Ayrıca, ağ trafiğinin uyanık izlenmesi, güvenlik duvarlarının uygulanması ve en son güvenlik güncellemelerinin sürekli olarak uygulanması, kapsamlı bir siber güvenlik stratejisinin temel bileşenleridir.
Atomic Stealer Malware MacOS'u sahte tarayıcı güncellemeleri aracılığıyla vurur
Kötü amaçlı yazılım, Google OAuth son noktasını 'canlandırmaya', kurabiyeleri 'canlandırmak için kötüye kullanır
Rhadamanthys Stealer kötü amaçlı yazılım daha güçlü özelliklerle gelişir
Büyüleyici kedi hackerları macOS için yeni 'Noknok' kötü amaçlı yazılım kullanıyor
ISHutDown komut dosyaları iPhone'unuzda iOS Spyware'i algılamaya yardımcı olabilir
Kaynak: Bleeping Computer