Bir kripto para birimi değişim platformunun blockchain mühendislerini hedefleyen Kuzey Koreli Lazarus hackleme grubuna atfedilen bir kampanyada 'Kandykorn' olarak adlandırılan yeni bir macOS kötü amaçlı yazılım tespit edildi.
Saldırganlar, çok aşamalı bir kandykorn enfeksiyon zincirini tetikleyen python tabanlı modülleri yaymak için Kripto para topluluğunun üyelerini anlaşmazlık kanallarına taklit ediyor.
Elastik Güvenlik, istihdam edilen teknikler, ağ altyapısı, kod imzalama sertifikaları ve özel Lazarus algılama kuralları ile ilgili geçmiş kampanyalarla örtüşmeler dayanarak Lazarus'a saldırıları keşfetti ve ilişkilendirdi.
Discord'da başlayan saldırı, hedeflere yönelik sosyal mühendislik saldırılarıyla başlar ve onları 'çapraz platform Bridges.zip' adlı kötü niyetli bir fermuar arşivi indirmeleri için kandırmak için başlar.
Mağdur, kripto para birimi işlemlerinden otomatik kâr üretimi için tasarlanmış meşru bir arbitraj botu indirdiklerine inanmak için yanıltı.
Bunun yerine, içerilen Python betiği ('Main.py'), ilk yükü 'Watcher.py' başlatarak zipte eşit sayıda komut dosyasından 13 modül içe aktarır.
Watcher.py, bir Google Drive URL'sinden indirilen 'Findertools' adlı başka bir Python dosyasıyla birlikte 'TestSpeed.py' adlı ikinci bir Python komut dosyasını açan ve yürüten bir indiricidir.
Findertools, .sld ve .log Mach-O yürütülebilir dosyaları olarak iki isim ve örnek altında görünen 'SugarLoader' adlı gizlenmiş bir ikili ikili olarak getiren ve başlatan bir damlalıktır.
SugarLoader, yansıtıcı ikili yükleme kullanarak son yükü olan Kandykorn'u belleğe almak ve yüklemek için komut ve kontrol sunucusu ile bir bağlantı kurar.
Saldırının son aşamasında, uyumsuzluğu taklit eden ve geçmiş Lazarus kampanyalarında görülen macOS ikili kod imzalama tekniklerini kullanan Hloader olarak bilinen bir yükleyici kullanılır.
Hloader, bir dizi ikili yeniden adlandırma eylemini takiben, enfekte olmuş sistemdeki gerçek anlaşmazlık uygulamasını ele geçirerek şeker yükleyici için kalıcılık oluşturur.
Elastik, "Tehdit oyuncusu, daha önce yürütme akışı kaçırma olarak bilinen macOS üzerinde kalıcılık elde etmek için kullandıklarını görmediğimiz bir tekniği benimsediğini gözlemledik."
Özellikle, Hloader lansman sırasında aşağıdaki işlemleri gerçekleştirir:
Kandykorn, Lazarus'un enfekte bilgisayardan verilere erişmesini ve çalmasını sağlayan gelişmiş bir son aşama yüküdür.
Arka planda bir daemon olarak çalışır, C2 sunucusundan komutlar bekler ve sistemdeki izini en aza indirmek için kalp atışlarından kaçınmaktan kaçınır.
Kandykorn aşağıdaki 16 komutu destekler:
Özetle, Kandykorn, veri alma, dizin listesi, dosya yükleme/indirme, güvenli silme, işlem sonlandırma ve komut yürütme yeteneğine sahip özellikle gizli bir arka kapıdır.
Kripto para birimi sektörü, diğer ana operasyonel odak noktası olan casusluktan ziyade finansal kazançla motive edilen Lazarus için birincil bir hedef olmaya devam ediyor.
Kandykorn'un varlığı, MacOS'un Lazarus'un hedefleme menzili içinde olduğunu ve tehdit grubunun Apple bilgisayarlar için özel olarak uyarlanmış sofistike ve göze çarpmayan kötü amaçlı yazılım üretme yeteneğini sergilediğini vurguluyor.
Lazarus Hackers, Signbt kötü amaçlı yazılımını dağıtmak için Dev'i tekrar tekrar ihlal etti
Kuzey Koreli hackerlar, ağları ihlal etmek için kritik TeamCity kusurundan yararlanıyor
Lazarus Hackers, yeni Lightlesscan kötü amaçlı yazılımlarla havacılık ve uzay firmasını ihlal ediyor
Mixin Network, 200 milyon dolarlık hack'i takiben operasyonları askıya alıyor
Kripto firması Nansen, satıcı ihlalinden sonra kullanıcılardan şifreleri sıfırlamalarını ister
Kaynak: Bleeping Computer