FERRET Malvér

Zistilo sa, že severokórejskí kybernetickí agenti za kampaňou Contagious Interview nasadzujú kmene škodlivého softvéru pre macOS spoločne nazývané FERRET pod rúškom procesu pracovného pohovoru. Nič netušiace ciele sú vedené ku komunikácii s predpokladaným náborovým pracovníkom prostredníctvom odkazu, ktorý vygeneruje chybové hlásenie a vyzve ich, aby si nainštalovali alebo aktualizovali softvér ako VCam alebo CameraAccess, aby mohli pokračovať v pohovore.

Nákazlivý rozhovor: Trvalé úsilie o kyberšpionáž

Contagious Interview, ktorý bol pôvodne odhalený koncom roka 2023, predstavuje trvalú kampaň zameranú na infikovanie obetí prostredníctvom klamných balíčkov npm a natívnych aplikácií, ktoré sa vydávajú za softvér na videokonferencie. Kampaň, sledovaná aj pod názvami ako DeceptiveDevelopment a DEV#POPPER, sa naďalej vyvíja a využíva čoraz sofistikovanejšie taktiky.

Pád BeaverTail a InvisibleFerret

Sekvencia útokov zvyčajne vedie k nasadeniu BeaverTail, malvéru založeného na JavaScripte, ktorý je určený na extrahovanie citlivých údajov z prehliadačov a kryptomenových peňaženiek. Tento malvér tiež funguje ako mechanizmus doručovania pre ďalšie užitočné zaťaženie – zadné vrátka založené na Pythone známe ako InvisibleFerret.

OtterCookie: Ďalšia vrstva škodlivej činnosti

V decembri 2024 výskumníci kybernetickej bezpečnosti z Japonska identifikovali ďalší komponent v reťazci útokov: variant malvéru s názvom OtterCookie . Tento malvér JavaScript je nakonfigurovaný tak, aby načítal a spúšťal ďalšie škodlivé užitočné zaťaženia, čím ďalej rozširuje možnosti infekcie.

Zdokonalenie taktiky vyhýbania sa podvodom v štýle ClickFix

Keď bola koncom roka 2024 objavená rodina malvéru FERRET, vedci poznamenali, že útočníci zdokonaľovali svoje metódy, aby sa lepšie vyhli detekcii. Jedna pozoruhodná technika zahŕňa prístup v štýle ClickFix, ktorý oklame používateľov, aby skopírovali a vykonali nebezpečný príkaz v aplikácii macOS Terminal pod zámienkou vyriešenia problémov s prístupom ku kamere a mikrofónu.

Zacielenie na uchádzačov o zamestnanie prostredníctvom LinkedIn

Počiatočná fáza týchto útokov sa často začína dosahom na LinkedIn, kde aktéri hrozieb vystupujú ako náborári. Ich primárnym cieľom je presvedčiť potenciálne obete, aby podstúpili video posúdenie, ktoré nakoniec vedie k inštalácii zadných vrátok na Golang. Tento malvér je obzvlášť zákerný a je navrhnutý tak, aby odčerpával kryptomenové prostriedky z peňaženiek MetaMask a zároveň umožňoval útočníkom vykonávať príkazy na napadnutom zariadení.

Rozbitie komponentov malvéru FERRET

Výskumníci identifikovali niekoľko komponentov spojených s rodinou malvéru FERRET, z ktorých každý plní odlišnú funkciu v sekvencii útoku:

• FROSTYFERRET_UI: Užitočná časť v úvodnej fáze, často maskovaná ako aplikácie ChromeUpdate alebo CameraAccess.
• FRIENDLYFERRET_SECD: Sekundárne zadné vrátka Go-based známe ako „com.apple.secd“, ktoré boli predtým spojené s kampaňou Hidden Risk zameranou na obchody s kryptomenami.
• MULTI_FROSTYFERRET_CMDCODES: Konfiguračný súbor Go podporujúci funkciu zadných vrátok druhej fázy.

FlexibleFerret: Stanovenie vytrvalosti v systéme macOS

Bola tiež objavená samostatná sada artefaktov škodlivého softvéru, označovaná ako FlexibleFerret. Tento variant sa zameriava na udržanie perzistencie v infikovanom systéme macOS pomocou LaunchAgenta. Škodlivý softvér je dodávaný prostredníctvom inštalačného balíka s názvom InstallerAlert, ktorý odráža funkcie „FROSTYFERRET_UI“.

Rozširovanie vektorov útokov mimo ľudí hľadajúcich prácu

Zatiaľ čo vzorky FlexibleFerret boli distribuované ako balíčky Apple Installer, presná metóda použitá na presvedčenie obetí, aby ich vykonali, zostáva nejasná. Dôkazy však naznačujú, že malvér sa šíri aj vytváraním falošných problémov na legitímnych úložiskách GitHub. Tento posun v taktike signalizuje širšiu stratégiu zacielenia, ktorá presahuje rámec uchádzačov o zamestnanie a zameriava sa na vývojárov a iných odborníkov v technickom priemysle.

Keďže severokórejskí kybernetickí aktéri pokračujú v zdokonaľovaní svojich klamlivých metód, bezpečnostní experti vyzývajú na zvýšenú ostražitosť pri práci s online ponukami práce a výzvami na inštaláciu softvéru.