Севернокорейските крадци на криптовалута отново се насочват към потребителите на macOS с нова кампания за зловреден софтуер, която използва фишинг имейли, фалшиви PDF приложения и нова техника за заобикаляне на мерките за сигурност на Apple.

Според прясно проучване на SentinelOne известният хакерски екип BlueNoroff е бил хванат да изпраща фишинг примамки с фалшиви новинарски заглавия или истории по теми, свързани с криптовалутите, на цели в децентрализираните финансови (DeFi) и криптовалутни бизнеси.

Вътре в имейлите подкрепяните от севернокорейското правителство хакери са вграждали зловредно приложение за macOS, маскирано като връзка към PDF документ, свързан с криптовалутна тема, като например „Скритият риск зад новия скок на цената на биткойн“, „Алткойн сезон 2.0 – скритите скъпоценни камъни, които трябва да се наблюдават“ и „Нова ера за стабилните монети и DeFi, CeFi“.

От SentinelOne заявиха, че кампанията, наречена „Скрит риск“, също така злоупотребява с конфигурационния файл „zshenv“, за да поддържа устойчивост, без да задейства известията за промяна на фонови елементи на macOS Ventura.

Известията на macOS са предназначени да предупреждават потребителите за промени в общи методи за устойчивост като LaunchAgents и LaunchDaemons.

Според документацията на SentinelOne злонамереният софтуер от първия етап е приложение за macOS, написано на Swift, с име, идентично с това на вградения PDF документ. Приложението е подписано и нотариално заверено с помощта на легитимен идентификатор на разработчик на Apple (след като е отнет) и при изпълнението си изтегля примамлив PDF файл от връзка в Google Drive и го отваря с помощта на PDF браузъра по подразбиране на macOS, за да не предизвика подозрение.

Успоредно с това изследователите на SentinelOne наблюдават, че зловредният софтуер изтегля и изпълнява зловредна x86-64 двоична програма от твърдо кодиран URL адрес. Приложението заобикаля функциите за сигурност на macOS, като посочва изключения в своя файл Info.plist, за да позволи несигурни HTTP връзки, казват компаниите.

Компанията също така документира използването на задна врата на втори етап, която събира системна информация, генерира уникален идентификатор и установява комуникация със сървър за командване и контрол (C2).

SentinelOne заяви, че задната врата е програмирана да изпраща версията на операционната система, модела на хардуера и списъка на процесите към C2 сървъра и очаква по-нататъшни инструкции.

BlueNoroff е публично документирана като подгрупа в рамките на севернокорейската APT операция Lazarus. групата е специализирана във финансови киберпрестъпления, по-специално насочена към банки и борси за криптовалути за финансиране на севернокорейския режим.