Malware FERRET
Operativët kibernetikë të Koresë së Veriut pas fushatës së Intervistës ngjitëse janë gjetur duke vendosur lloje malware të macOS të quajtura kolektivisht FERRET nën maskën e një procesi interviste pune. Objektivat që nuk dyshojnë drejtohen të komunikojnë me një rekrutues të supozuar nëpërmjet një lidhjeje që gjeneron një mesazh gabimi, duke i shtyrë ata të instalojnë ose përditësojnë softuer si VCam ose CameraAccess për të vazhduar me intervistën.
Tabela e Përmbajtjes
Intervistë ngjitëse: Një përpjekje e vazhdueshme për spiunazh kibernetik
Fillimisht e zbuluar në fund të vitit 2023, Intervista ngjitëse përfaqëson një fushatë të qëndrueshme që synon të infektojë viktimat përmes paketave mashtruese npm dhe aplikacioneve vendase që paraqiten si softuer videokonferencash. Fushata, e ndjekur edhe me emra të tillë si DeceptiveDevelopment dhe DEV#POPPER, vazhdon të zhvillohet, duke përdorur taktika gjithnjë e më të sofistikuara.
Duke rënë BeaverTail dhe InvisibleFerret
Sekuenca e sulmit zakonisht rezulton në vendosjen e BeaverTail, një malware i bazuar në JavaScript, i krijuar për të nxjerrë të dhëna të ndjeshme nga shfletuesit dhe kuletat e kriptomonedhave. Ky malware gjithashtu vepron si një mekanizëm shpërndarjeje për një ngarkesë shtesë - një derë e pasme e bazuar në Python e njohur si InvisibleFerret.
OtterCookie: Një shtresë tjetër e aktivitetit të dëmshëm
Në dhjetor 2024, studiuesit e sigurisë kibernetike nga Japonia identifikuan një komponent tjetër në zinxhirin e sulmeve: një variant malware të quajtur OtterCookie . Ky malware JavaScript është konfiguruar për të marrë dhe ekzekutuar ngarkesa shtesë të dëmshme, duke zgjeruar më tej aftësitë e infeksionit.
Përmirësimi i taktikave të evazionit me mashtrimin në stilin ClickFix
Kur familja e malware FERRET u zbulua në fund të vitit 2024, studiuesit vunë re se sulmuesit po përmirësonin metodat e tyre për të shmangur më mirë zbulimin. Një teknikë e dukshme përfshin një qasje të stilit ClickFix, duke mashtruar përdoruesit për të kopjuar dhe ekzekutuar një komandë të pasigurt në aplikacionin macOS Terminal nën pretendimin e zgjidhjes së çështjeve të aksesit të kamerës dhe mikrofonit.
Synimi i punëkërkuesve përmes LinkedIn
Faza fillestare e këtyre sulmeve shpesh fillon me kontaktin me LinkedIn, ku aktorët e kërcënimit paraqesin si rekrutues. Qëllimi i tyre kryesor është të bindin viktimat e mundshme që t'i nënshtrohen një vlerësimi video, i cili përfundimisht çon në instalimin e një dere të pasme me bazë Golang. Ky malware është veçanërisht i fshehtë, i krijuar për të kulluar fondet e kriptomonedhave nga MetaMask Wallets, duke i lejuar gjithashtu sulmuesit të kryejnë komanda në pajisjen e komprometuar.
Zbërthimi i komponentëve të malware FERRET
Studiuesit kanë identifikuar disa komponentë të lidhur me familjen e malware FERRET, secili duke shërbyer një funksion të veçantë në sekuencën e sulmit:
- FROSTYFERRET_UI: Ngarkesa e fazës fillestare, shpesh e maskuar si aplikacione ChromeUpdate ose CameraAccess.
- FRIENDLYFERRET_SECD: Një derë e pasme dytësore e bazuar në Go e njohur si 'com.apple.secd', e lidhur më parë me fushatën e rrezikut të fshehur që synon bizneset e kriptomonedhave.
- MULTI_FROSTYFERRET_CMDCODES: Një skedar konfigurimi Go që mbështet funksionalitetin e dyerve të pasme të fazës së dytë.
FlexibleFerret: Vendosja e Qëndrueshmërisë në macOS
Një grup i veçantë i objekteve malware, të referuara si FlexibleFerret, është zbuluar gjithashtu. Ky variant fokusohet në ruajtjen e qëndrueshmërisë brenda një sistemi macOS të infektuar përmes përdorimit të një LaunchAgent. Malware shpërndahet nëpërmjet një pakete instaluesi të quajtur InstallerAlert, duke pasqyruar funksionalitetin e "FROSTYFERRET_UI".
Zgjerimi i vektorëve të sulmeve përtej punëkërkuesve
Ndërsa mostrat FlexibleFerret u shpërndanë si paketa Apple Installer, metoda e saktë e përdorur për të bindur viktimat për t'i ekzekutuar ato mbetet e paqartë. Sidoqoftë, provat sugjerojnë se malware po përhapet gjithashtu duke krijuar probleme të rreme në depot legjitime të GitHub. Ky ndryshim në taktika sinjalizon një strategji më të gjerë të synimit që shtrihet përtej punëkërkuesve, duke synuar zhvilluesit dhe profesionistët e tjerë brenda industrisë së teknologjisë.
Ndërsa aktorët kibernetikë të Koresë së Veriut vazhdojnë të përpunojnë metodat e tyre mashtruese, ekspertët e sigurisë kërkojnë vigjilencë të shtuar kur përfshihen me ofertat e punës në internet dhe kërkesat e instalimit të softuerit.
