Участниците в заплахата, които стоят зад зареждащия зловреден софтуер за macOS, известен като ReaderUpdate, са създали нови версии на заплахата, използвайки езиците за програмиране Crystal, Nim, Rust и Go, съобщава SentinelOne.
Първоначално наблюдаван през 2020 г., когато е бил разпространяван като компилиран двоичен файл на Python, зловредният софтуер е комуникирал със сървър за командване и управление (C&C) на адрес www[.]entryway[.]world и е бил забелязан да разгръща полезен товар, идентифициран като рекламен софтуер Genieo (известен още като Dolittle и MaxOfferDeal).
От средата на 2024 г. по-нови домейни са били свързани с вариантите Crystal, Nim и Rust на ReaderUpdate, но полезният товар не е бил променен, казва SentinelOne. Вариантът Go, който фирмата за киберсигурност наскоро идентифицира, следва същия модел.
„Включително оригиналната компилирана версия на Python, ReaderUpdate понастоящем се разпространява в пет варианта, компилирани от пет различни изходни езика. Наблюдавахме разпространение на по-новите варианти чрез съществуващи инфекции на по-стария ReaderUpdate“, отбелязва SentinelOne.
Зловредният софтуер се разпространява чрез сайтове за изтегляне на безплатен софтуер и софтуер на трети страни, включително чрез инсталатори на зловредни пакети, съдържащи фалшиви или троянски помощни приложения. Всички наблюдавани варианти са насочени само към архитектурата x86 на Intel.
Анализът на варианта Go на ReaderUpdate разкри, че при изпълнението си зловредният софтуер първо събира информация за хардуера на системата, която след това се използва за създаване на уникален идентификатор и се изпраща към C&C.
Освен това е разкрито, че заплахата може да анализира и изпълнява отговорите, получени от C&C, което предполага, че може да се използва за изпълнение на всички команди, които операторът ѝ изпраща.
„Въпреки че досега инфекциите с ReaderUpdate са били свързани само с известен рекламен софтуер, зареждащото устройство има възможност да промени полезния товар в нещо по-зловредно. Това съответства на платформа за зареждане, която може да се използва за предлагане на други участници в заплахите на Pay-Per-Install (PPI) или Malware-as-a-Service (MaaS)“, казва SentinelOne.
До момента фирмата за киберсигурност е идентифицирала девет проби на ReaderUpdate, написани на Go, които достигат до седем C&C домейна. Това показва, че този вариант не е толкова разпространен, колкото вариантите Nim, Crystal и Rust, които имат стотици проби в дивата природа.
