Имплементацията на Cobalt Strike в Golang, наречена Geacon, вероятно ще привлече вниманието на бандити, които искат да атакуват системи Apple macOS.

Това сочат данните на SentinelOne, която през последните месеци наблюдава увеличаване на броя на полезните товари на Geacon, които се появяват във VirusTotal.

„Докато някои от тях вероятно са операции на червени екипи, други носят характеристиките на истински злонамерени атаки“, казват в доклад изследователите по сигурността Фил Стоукс и Динеш Девадос.

Cobalt Strike е добре познат инструмент за създаване на червени екипи и симулация на противници, разработен от Fortra. Поради безбройните му възможности през годините нелегално кракнати версии на софтуера са били използвани от автори на заплахи.

Въпреки че след експлоатацията на Cobalt Strike са използвани предимно срещу Windows, подобни атаки има и срещу macOS.

През май 2022 г. фирмата Sonatype, която се занимава с доставка на софтуер, разкри подробности за измамен пакет Python, наречен „pymafka“, който е проектиран така, че да пуска Cobalt Strike Beacon на компрометирани хостове с Windows, macOS и Linux.

Това обаче може да се промени с появата на артефакти на Geacon в дивата природа. Geacon е вариант на Go на Cobalt Strike, който е наличен в GitHub от февруари 2020 г. насам.

Допълнителен анализ на два нови образеца на VirusTotal, които бяха качени през април 2023 г., проследи произхода им до два варианта на Geacon (geacon_plus и geacon_pro), които са разработени в края на октомври от двама анонимни китайски разработчици z3ratu1 и H4de5.

Проектът geacon_pro вече не е достъпен в GitHub, но снимка от Internet Archive, заснета на 6 март 2023 г., разкрива способността му да заобикаля антивирусни машини като Microsoft Defender, Kaspersky и Qihoo 360 360 Core Crystal.

H4de5, разработчикът, който стои зад geacon_pro, твърди, че инструментът е предназначен основно за поддръжка на версии 4.1 и по-нови на CobaltStrike, докато geacon_plus поддържа версия 4.0 на CobaltStrike. Текущата версия на софтуера е 4.8.

Resume_20230320.app на Xu Yiqing, един от артефактите, открити от SentinelOne, използва AppleScript, който се изпълнява само за да се свърже с отдалечен сървър и да изтегли полезен товар на Geacon. Той е съвместим както със силициевите архитектури на Apple, така и с тези на Intel.

„Неподписаният полезен товар на Geacon се изтегля от IP адрес в Китай“, казват изследователите. „Преди да започне дейността си по изпращане на сигнали, на потребителя се представя документ от две страници за примамка, вграден в двоичния файл на Geacon. Отваря се PDF файл, в който се показва автобиография на лице на име „Xu Yiqing“.

Бинарната програма Geacon, компилирана от изходния код geacon_plus, съдържа множество функции, които ѝ позволяват да изтегля полезен товар на следващ етап и да ексфилтрира данни, както и да улеснява мрежовите комуникации.

Според фирмата за киберсигурност вторият образец е вграден в троянски коне, които се представят за приложението за отдалечена поддръжка SecureLink (SecureLink.app) и са насочени главно към устройства на Intel.

Неподписаното приложение иска разрешение от потребителите за достъп до контакти, снимки, напомняния, както и до камерата и микрофона на устройството. Основният му компонент е полезен товар Geacon, изграден от проекта geacon_pro, който се свързва с известен сървър за командване и контрол (C2) в Япония.

Разработката се появява в момент, когато екосистемата на macOS е обект на атаки от страна на най-различни  заплахи, включително държавно спонсорирани групи, за внедряване на задни вратички и устройства за кражба на информация.

„Нарастването на броя на образците на Geacon през последните няколко месеца предполага, че екипите по сигурността трябва да обърнат внимание на този инструмент и да се уверят, че разполагат със защити“, казват изследователите.