Търсене
Close this search box.

Хакери използват Golang вариант на Cobalt Strike, за да атакуват Apple macOS

Имплементацията на Cobalt Strike в Golang, наречена Geacon, вероятно ще привлече вниманието на бандити, които искат да атакуват системи Apple macOS.

Това сочат данните на SentinelOne, която през последните месеци наблюдава увеличаване на броя на полезните товари на Geacon, които се появяват във VirusTotal.

„Докато някои от тях вероятно са операции на червени екипи, други носят характеристиките на истински злонамерени атаки“, казват в доклад изследователите по сигурността Фил Стоукс и Динеш Девадос.

Cobalt Strike е добре познат инструмент за създаване на червени екипи и симулация на противници, разработен от Fortra. Поради безбройните му възможности през годините нелегално кракнати версии на софтуера са били използвани от автори на заплахи.

Въпреки че след експлоатацията на Cobalt Strike са използвани предимно срещу Windows, подобни атаки има и срещу macOS.

През май 2022 г. фирмата Sonatype, която се занимава с доставка на софтуер, разкри подробности за измамен пакет Python, наречен „pymafka“, който е проектиран така, че да пуска Cobalt Strike Beacon на компрометирани хостове с Windows, macOS и Linux.

Това обаче може да се промени с появата на артефакти на Geacon в дивата природа. Geacon е вариант на Go на Cobalt Strike, който е наличен в GitHub от февруари 2020 г. насам.

Допълнителен анализ на два нови образеца на VirusTotal, които бяха качени през април 2023 г., проследи произхода им до два варианта на Geacon (geacon_plus и geacon_pro), които са разработени в края на октомври от двама анонимни китайски разработчици z3ratu1 и H4de5.

Проектът geacon_pro вече не е достъпен в GitHub, но снимка от Internet Archive, заснета на 6 март 2023 г., разкрива способността му да заобикаля антивирусни машини като Microsoft Defender, Kaspersky и Qihoo 360 360 Core Crystal.

H4de5, разработчикът, който стои зад geacon_pro, твърди, че инструментът е предназначен основно за поддръжка на версии 4.1 и по-нови на CobaltStrike, докато geacon_plus поддържа версия 4.0 на CobaltStrike. Текущата версия на софтуера е 4.8.

Resume_20230320.app на Xu Yiqing, един от артефактите, открити от SentinelOne, използва AppleScript, който се изпълнява само за да се свърже с отдалечен сървър и да изтегли полезен товар на Geacon. Той е съвместим както със силициевите архитектури на Apple, така и с тези на Intel.

„Неподписаният полезен товар на Geacon се изтегля от IP адрес в Китай“, казват изследователите. „Преди да започне дейността си по изпращане на сигнали, на потребителя се представя документ от две страници за примамка, вграден в двоичния файл на Geacon. Отваря се PDF файл, в който се показва автобиография на лице на име „Xu Yiqing“.

Бинарната програма Geacon, компилирана от изходния код geacon_plus, съдържа множество функции, които ѝ позволяват да изтегля полезен товар на следващ етап и да ексфилтрира данни, както и да улеснява мрежовите комуникации.

Според фирмата за киберсигурност вторият образец е вграден в троянски коне, които се представят за приложението за отдалечена поддръжка SecureLink (SecureLink.app) и са насочени главно към устройства на Intel.

Неподписаното приложение иска разрешение от потребителите за достъп до контакти, снимки, напомняния, както и до камерата и микрофона на устройството. Основният му компонент е полезен товар Geacon, изграден от проекта geacon_pro, който се свързва с известен сървър за командване и контрол (C2) в Япония.

Разработката се появява в момент, когато екосистемата на macOS е обект на атаки от страна на най-различни  заплахи, включително държавно спонсорирани групи, за внедряване на задни вратички и устройства за кражба на информация.

„Нарастването на броя на образците на Geacon през последните няколко месеца предполага, че екипите по сигурността трябва да обърнат внимание на този инструмент и да се уверят, че разполагат със защити“, казват изследователите.

 

Източник: The Hacker News

Подобни публикации

30 май 2024

Измамата "Безплатно пиано"

Мащабна фишинг кампания използва необичайна примамка, за да спечели...
30 май 2024

OmniVision призна за атака с рансъмуер

Гигантът в областта на производството на полупроводници OmniVision ...
29 май 2024

Пуснат е експлойт за FortiSIEM с максимална тежест

Изследователи в областта на сигурността публикуваха доказателство з...
29 май 2024

Операторът на NYSE Intercontinental Exchange по...

Миналата сряда Комисията по ценните книжа и фондовите борси на САЩ ...
29 май 2024

Рутерът за игри TP-Link Archer C5400X е уязвим

Рутерът за игри TP-Link Archer C5400X е уязвим към пропуски в сигур...
29 май 2024

Christie's потвърждава пробив от RansomHub

Christie’s потвърди, че е претърпяла инцидент със сигурността...
28 май 2024

Потребителите на блокери на реклами имат пробле...

Много потребители съобщават, че видеоклиповете в YouTube автоматичн...
28 май 2024

VMware е била използвана в неотдавнашната хакер...

MITRE сподели информация за това как свързаните с Китай хакери са и...

Как работи Интерпол в областта на киберпрестъпн...

Необходима е сложна координация между правоприлагащите органи, съде...
Бъдете социални
Още по темата
28/05/2024

VMware е била използвана в ...

MITRE сподели информация за това как...
28/05/2024

Как работи Интерпол в облас...

Необходима е сложна координация между правоприлагащите...
28/05/2024

Хакерите се насочват към VP...

Заплахите се насочват към VPN устройствата...
Последно добавени
30/05/2024

Измамата "Безплатно пиано"

Мащабна фишинг кампания използва необичайна примамка,...
30/05/2024

OmniVision призна за атака ...

Гигантът в областта на производството на...
29/05/2024

Пуснат е експлойт за FortiS...

Изследователи в областта на сигурността публикуваха...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!