NimDoor-haittaohjelma

Kyberturvallisuusammattilaiset ovat paljastaneet uuden ja huomaamattoman macOS-haittaohjelmaperheen nimeltä NimDoor, joka aiheuttaa vakavan uhan edistyneiden pysyvyystekniikoidensa, huomaamattomien tiedonvarkausmekanismiensa ja hienostuneiden hyökkäysominaisuuksiensa ansiosta. Tämän haitallisen kampanjan syynä on Pohjois-Korean kanssa liittoutunut uhkatoimija, joka kohdistaa toimintansa Web3- ja kryptovaluuttasektoreihin.

Pohjois-Korean hakkerit kääntyvät Nimin ja macOS:n puoleen

Pohjois-Koreaan kytköksissä oleviksi epäillyt uhkatoimijat hyödyntävät nyt Nim-ohjelmointikieltä haittaohjelma-arsenaalissaan. Tämä merkitsee jatkuvaa kehitystä heidän työkalupakissaan, ja aiemmissa kampanjoissa on käytetty kieliä, kuten Go ja Rust. Nimin uusi käyttötapa osoittaa halukkuutta innovoida, erityisesti sellaisten alustojen välisten uhkien luomisessa, joita on vaikea havaita ja analysoida.

Tässä kampanjassa hyökkääjät kohdistavat toimintansa erityisesti Web3- ja kryptovaluuttoihin keskittyviin organisaatioihin, mikä viittaa taloudellisesti motivoituneeseen operaatioon, jonka tarkoituksena on häiritä tai soluttautua digitaalisen rahoituksen infrastruktuuriin.

Erittäin epätavalliset macOS-tekniikat

NimDoorin erityisen huolestuttavaksi tekee sen epätavanomainen lähestymistapa macOS-tartuntoihin. Merkittävimmin se käyttää:

• Prosessi-injektio, harvinainen macOS-haittaohjelmien tekniikka, jonka avulla uhka voi kaapata ja manipuloida laillisia prosesseja.
• WSS (WebSocket Secure) -tietoliikennekanavat salatuille C2-vuorovaikutuksille.
• Uusi pysyvyysmenetelmä, joka hyödyntää SIGINT- ja SIGTERM-signaalinkäsittelijöitä, mahdollistaa haittaohjelman uudelleenasennuksen järjestelmän sulkemisen tai uudelleenkäynnistyksen yhteydessä.

Näiden ominaisuuksien ansiosta se pysyy matalalla profiililla ja kestää yleisiä käyttäjien tai järjestelmän aiheuttamia häiriöitä.

Sosiaalisen manipuloinnin vauhdittama hyökkäysketju

Hyökkäys alkaa sosiaalisen manipuloinnin strategialla:

• Uhreihin otetaan yhteyttä Telegramin kaltaisten alustojen kautta ja houkutellaan varaamaan Zoom-tapaaminen Calendlyn avulla.
• He saavat väärennetyn sähköpostin, jossa on Zoom SDK:n päivitysskripti, jonka oletetaan varmistavan yhteensopivuuden videoneuvotteluohjelmiston kanssa.

Tämä johtaa haitallisen AppleScript-komentosarjan suorittamiseen, joka lataa toisen vaiheen komentosarjan etäpalvelimelta ja ohjaa käyttäjän samalla lailliseen Zoom-linkkiin. Toisen vaiheen komentosarja purkaa ZIP-arkistoja, jotka sisältävät:

• Binäärit pysyvyyden määrittämiseksi
• Bash-skriptit järjestelmätietojen varastamiseen

InjectWithDyldArm64:n rooli

Tartuntaprosessin ytimessä on C++-lataaja, joka tunnetaan nimellä InjectWithDyldArm64 tai yksinkertaisesti InjectWithDyld. Tämä komponentti on ratkaisevan tärkeä haittaohjelman tehokkaan ja salaa tapahtuvan levittämisen kannalta. Se aloittaa purkamalla kahden upotetun binääritiedoston salauksen, toisen nimeltä 'Target' ja toisen 'trojan1_arm64'. Salauksen purkamisen jälkeen se käynnistää Target-prosessin keskeytetyssä tilassa. Prosessin ollessa keskeytettynä lataaja lisää siihen trojan1_arm64-binääritiedoston ja jatkaa sitten suoritusta. Tämä menetelmä mahdollistaa haitallisten hyötykuormien toimittamisen ja aktivoinnin erittäin huomaamattomalla tavalla, ohittaen järjestelmän tavanomaiset puolustusmekanismit ja minimoiden havaitsemismahdollisuudet.

Valtuustietojen varkaudet ja järjestelmän valvonta

Aktivoituaan haittaohjelma muodostaa yhteyden etäkomentopalvelimeen (C2), minkä ansiosta se voi suorittaa useita haitallisia toimintoja. Näitä ovat yksityiskohtaisten järjestelmätietojen kerääminen, mielivaltaisten etäkomentojen suorittaminen, eri hakemistoissa navigointi ja näiden toimien tulosten lähettäminen takaisin hyökkääjälle.

Uhka eskaloituu trojan1_arm64-komponentin osallistuessa hyökkäykseen. Se tehostaa hyökkäystä hakemalla kaksi uutta hyötykuormaa C2-infrastruktuurista. Nämä hyötykuormat on suunniteltu erityisesti arkaluonteisten tietojen keräämiseen. Niiden ensisijaisia kohteita ovat laajalti käytettyjen selainten – Arc, Brave, Chrome, Edge ja Firefox – kirjautumistiedot sekä Telegram-viestisovelluksen käyttäjätiedot.

Pysyvyysmekanismit

Pääkomponenttiensa lisäksi haittaohjelma käyttää myös Nim-pohjaisia suoritettavia tiedostoja, jotka aktivoivat CoreKitAgent-nimisen moduulin. Tällä moduulilla on ratkaiseva rooli haittaohjelman sietokyvyn varmistamisessa valvomalla kaikkia yrityksiä lopettaa sen toiminta. Ylläpitääkseen läsnäoloaan se asentaa mukautettuja signaalinkäsittelijöitä SIGINT- ja SIGTERM-signaaleille, joiden avulla se käynnistyy automaattisesti uudelleen, jos käyttäjä tai tietoturvatyökalu yrittää sammuttaa sen. Tämä sisäänrakennettu mekanismi vahvistaa merkittävästi haittaohjelman pysyvyyttä.

Hyökkääjät käyttävät myös laajasti AppleScriptiä hyödyntäen sitä paitsi tartunnan alkuvaiheessa myös koko haittaohjelman toiminnan ajan jatkuvaan valvontaan ja hallintaan. Tämän komentosarjojen kirjoittamisominaisuuden avulla haittaohjelma lähettää säännöllisiä majakoita 30 sekunnin välein kovakoodatuille C2-palvelimille, vuotaa tietoja parhaillaan käynnissä olevista prosesseista ja suorittaa etäuhkatoimijan antamia uusia komentoja.

Miksi Nim tekee haittaohjelmista vaarallisempia

Nim-ohjelmointikielen käyttö antaa hyökkääjille huomattavia etuja. Nimin kyky suorittaa funktioita käännösaikana antaa heille mahdollisuuden:

• Upota monimutkaista logiikkaa, jota on vaikea havaita
• Hämärrä ohjausvirtaa binääritiedostojen sisällä
• Sekoita kehittäjä- ja ajonaikaista koodia, mikä vaikeuttaa analysointia huomattavasti

Tämä johtaa kompakteihin ja tehokkaisiin binääritiedostoihin, joiden näkyvyys perinteisille haittaohjelmien tunnistusmoottoreille on heikentynyt.

NimDoor on karu muistutus siitä, että macOS ei ole enää immuuni kehittyneille ja jatkuville uhkille. Pohjois-Korean toimijoiden hyökätessä nyt tähän alustaan käyttämällä kehittyviä tekniikoita ja vähemmän tunnettuja ohjelmointikieliä, ajan tasalla ja valppaana pysyminen on tärkeämpää kuin koskaan.