FERRET Zlonamerna programska oprema
Severnokorejski kibernetski operaterji, ki stojijo za kampanjo Contagious Interview, so pod krinko postopka razgovora za službo uvajali različice zlonamerne programske opreme macOS, ki so jih skupaj poimenovali FERRET. Nič hudega sluteče tarče se pripeljejo do komunikacije z domnevnim kadrovnikom prek povezave, ki generira sporočilo o napaki in jih pozove, naj za nadaljevanje razgovora namestijo ali posodobijo programsko opremo, kot je VCam ali CameraAccess.
Kazalo
Nalezljiv intervju: vztrajno kibernetsko vohunjenje
Contagious Interview, ki je bil prvotno odkrit konec leta 2023, predstavlja trajno kampanjo, katere cilj je okužiti žrtve prek zavajajočih paketov npm in izvornih aplikacij, ki se predstavljajo kot programska oprema za videokonference. Kampanja, ki jo spremljamo tudi pod imeni, kot sta DeceptiveDevelopment in DEV#POPPER, se še naprej razvija in uporablja vedno bolj izpopolnjene taktike.
Spuščanje BeaverTail in InvisibleFerret
Zaporedje napadov običajno povzroči uvedbo BeaverTail, zlonamerne programske opreme, ki temelji na JavaScriptu in je zasnovana za pridobivanje občutljivih podatkov iz brskalnikov in denarnic za kriptovalute. Ta zlonamerna programska oprema deluje tudi kot mehanizem za dostavo dodatnega koristnega tovora – stranska vrata, ki temeljijo na Pythonu, znana kot InvisibleFerret.
OtterCookie: Še ena plast škodljive dejavnosti
Decembra 2024 so japonski raziskovalci kibernetske varnosti identificirali še eno komponento v verigi napadov: različico zlonamerne programske opreme z imenom OtterCookie . Ta zlonamerna programska oprema JavaScript je konfigurirana za pridobivanje in izvajanje dodatnega škodljivega koristnega tovora, kar dodatno razširja zmožnosti okužbe.
Izboljšanje taktike utaje s prevaro v slogu ClickFix
Ko so proti koncu leta 2024 odkrili družino zlonamerne programske opreme FERRET, so raziskovalci ugotovili, da napadalci izpopolnjujejo svoje metode, da bi se bolje izognili odkrivanju. Ena od pomembnih tehnik vključuje pristop v slogu ClickFix, ki uporabnike pretenta, da kopirajo in izvedejo nevaren ukaz v aplikaciji macOS Terminal pod pretvezo, da rešujejo težave z dostopom do kamere in mikrofona.
Ciljanje na iskalce zaposlitve prek LinkedIna
Začetna faza teh napadov se pogosto začne z dosegom LinkedIna, kjer se akterji groženj predstavljajo kot rekruterji. Njihov primarni cilj je prepričati potencialne žrtve, da opravijo video oceno, ki na koncu vodi do namestitve stranskih vrat, ki temeljijo na Golangu. Ta zlonamerna programska oprema je še posebej zahrbtna, saj je zasnovana tako, da črpa sredstva v kriptovalutah iz denarnic MetaMask Wallet, hkrati pa napadalcem omogoča izvajanje ukazov na ogroženi napravi.
Razčlenitev komponent zlonamerne programske opreme FERRET
Raziskovalci so identificirali več komponent, povezanih z družino zlonamerne programske opreme FERRET, od katerih ima vsaka svojo funkcijo v zaporedju napadov:
- FROSTYFERRET_UI: Koristna obremenitev začetne stopnje, pogosto prikrita kot aplikacije ChromeUpdate ali CameraAccess.
- FRIENDLYFERRET_SECD: Sekundarna stranska vrata, ki temeljijo na Go, znana kot 'com.apple.secd', prej povezana s kampanjo Hidden Risk, ki cilja na podjetja s kriptovalutami.
- MULTI_FROSTYFERRET_CMDCODES: Konfiguracijska datoteka Go, ki podpira funkcijo backdoor druge stopnje.
FlexibleFerret: Vzpostavljanje obstojnosti na macOS
Odkrit je bil tudi ločen niz artefaktov zlonamerne programske opreme, imenovan FlexibleFerret. Ta različica se osredotoča na ohranjanje obstojnosti znotraj okuženega sistema macOS z uporabo LaunchAgenta. Zlonamerna programska oprema je dostavljena prek namestitvenega paketa z imenom InstallerAlert, ki zrcali funkcionalnost »FROSTYFERRET_UI«.
Širjenje vektorjev napadov onkraj iskalcev zaposlitve
Čeprav so bili vzorci FlexibleFerret distribuirani kot paketi Apple Installer, natančna metoda, uporabljena za prepričevanje žrtev, da jih usmrtijo, ostaja nejasna. Vendar pa dokazi kažejo, da se zlonamerna programska oprema širi tudi z ustvarjanjem lažnih težav v zakonitih repozitorijih GitHub. Ta premik v taktiki nakazuje širšo strategijo ciljanja, ki presega iskalce zaposlitve in je namenjena razvijalcem in drugim strokovnjakom v tehnološki industriji.
Medtem ko severnokorejski kibernetski akterji še naprej izpopolnjujejo svoje goljufive metode, varnostni strokovnjaki pozivajo k povečani pazljivosti pri delu s spletnimi ponudbami za delo in pozivi za namestitev programske opreme.
