Хакери използват Golang вариант на Cobalt Strike, за да атакуват Apple macOS

Имплементацията на Cobalt Strike в Golang, наречена Geacon, вероятно ще привлече вниманието на бандити, които искат да атакуват системи Apple macOS.

Това сочат данните на SentinelOne, която през последните месеци наблюдава увеличаване на броя на полезните товари на Geacon, които се появяват във VirusTotal.

„Докато някои от тях вероятно са операции на червени екипи, други носят характеристиките на истински злонамерени атаки“, казват в доклад изследователите по сигурността Фил Стоукс и Динеш Девадос.

Cobalt Strike е добре познат инструмент за създаване на червени екипи и симулация на противници, разработен от Fortra. Поради безбройните му възможности през годините нелегално кракнати версии на софтуера са били използвани от автори на заплахи.

Въпреки че след експлоатацията на Cobalt Strike са използвани предимно срещу Windows, подобни атаки има и срещу macOS.

През май 2022 г. фирмата Sonatype, която се занимава с доставка на софтуер, разкри подробности за измамен пакет Python, наречен „pymafka“, който е проектиран така, че да пуска Cobalt Strike Beacon на компрометирани хостове с Windows, macOS и Linux.

Това обаче може да се промени с появата на артефакти на Geacon в дивата природа. Geacon е вариант на Go на Cobalt Strike, който е наличен в GitHub от февруари 2020 г. насам.

Допълнителен анализ на два нови образеца на VirusTotal, които бяха качени през април 2023 г., проследи произхода им до два варианта на Geacon (geacon_plus и geacon_pro), които са разработени в края на октомври от двама анонимни китайски разработчици z3ratu1 и H4de5.

Проектът geacon_pro вече не е достъпен в GitHub, но снимка от Internet Archive, заснета на 6 март 2023 г., разкрива способността му да заобикаля антивирусни машини като Microsoft Defender, Kaspersky и Qihoo 360 360 Core Crystal.

H4de5, разработчикът, който стои зад geacon_pro, твърди, че инструментът е предназначен основно за поддръжка на версии 4.1 и по-нови на CobaltStrike, докато geacon_plus поддържа версия 4.0 на CobaltStrike. Текущата версия на софтуера е 4.8.

Resume_20230320.app на Xu Yiqing, един от артефактите, открити от SentinelOne, използва AppleScript, който се изпълнява само за да се свърже с отдалечен сървър и да изтегли полезен товар на Geacon. Той е съвместим както със силициевите архитектури на Apple, така и с тези на Intel.

„Неподписаният полезен товар на Geacon се изтегля от IP адрес в Китай“, казват изследователите. „Преди да започне дейността си по изпращане на сигнали, на потребителя се представя документ от две страници за примамка, вграден в двоичния файл на Geacon. Отваря се PDF файл, в който се показва автобиография на лице на име „Xu Yiqing“.

Бинарната програма Geacon, компилирана от изходния код geacon_plus, съдържа множество функции, които ѝ позволяват да изтегля полезен товар на следващ етап и да ексфилтрира данни, както и да улеснява мрежовите комуникации.

Според фирмата за киберсигурност вторият образец е вграден в троянски коне, които се представят за приложението за отдалечена поддръжка SecureLink (SecureLink.app) и са насочени главно към устройства на Intel.

Неподписаното приложение иска разрешение от потребителите за достъп до контакти, снимки, напомняния, както и до камерата и микрофона на устройството. Основният му компонент е полезен товар Geacon, изграден от проекта geacon_pro, който се свързва с известен сървър за командване и контрол (C2) в Япония.

Разработката се появява в момент, когато екосистемата на macOS е обект на атаки от страна на най-различни  заплахи, включително държавно спонсорирани групи, за внедряване на задни вратички и устройства за кражба на информация.

„Нарастването на броя на образците на Geacon през последните няколко месеца предполага, че екипите по сигурността трябва да обърнат внимание на този инструмент и да се уверят, че разполагат със защити“, казват изследователите.

 

Източник: The Hacker News

Подобни публикации

Глобиха Amazon с 30 млн. долара заради домофона...

Amazon ще плати 30 млн. долара глоби за уреждане на обвиненията в н...
1 юни 2023

Подробности за Migraine - уязвимост на Apple macOS

Microsoft сподели подробности за вече поправен недостатък в Apple m...

Лов на заплахи в шест стъпки

Откриването на  заплахите, преди те да са ви открили, е от ключово ...
31 май 2023

Уязвимостта в Barracuda е използвана минимум 7 ...

Фирмата за корпоративна сигурност Barracuda разкри във вторник, че ...

Как да избегнете прегарянето в екипа си по кибе...

Въпреки че кибератаките се увеличават през последните години, една ...
30 май 2023

Бели хакери спечелиха 105 000 долара от Sonos One

Няколко недостатъка в сигурността, открити в безжичните високоговор...
Бъдете социални
Още по темата
31/05/2023

Уязвимостта в Barracuda е и...

Фирмата за корпоративна сигурност Barracuda разкри...
30/05/2023

Нов хакерски форум пусна да...

База данни за известния хакерски форум...
30/05/2023

CosmicEnergy е способен да ...

Руски софтуер, който може да изключва...
Последно добавени
01/06/2023

Глобиха Amazon с 30 млн. до...

Amazon ще плати 30 млн. долара...
01/06/2023

Подробности за Migraine - у...

Microsoft сподели подробности за вече поправен...
01/06/2023

Лов на заплахи в шест стъпки

Откриването на  заплахите, преди те да...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!