FERRET Malware

Утврђено је да севернокорејски сајбер оперативци који стоје иза кампање Цонтагиоус Интервиев примењују сојеве мацОС малвера под заједничким називом ФЕРРЕТ под маском процеса интервјуа за посао. Несуђене мете се доводе да комуницирају са наводним регрутом преко везе која генерише поруку о грешци, што их подстиче да инсталирају или ажурирају софтвер као што су ВЦам или ЦамераАццесс да би наставили са интервјуом.

Заразни интервју: упорни напор сајбер шпијунаже

Првобитно откривен крајем 2023. године, Цонтагиоус Интервиев представља трајну кампању која има за циљ заразу жртава путем обмањујућих нпм пакета и изворних апликација које се представљају као софтвер за видео конференције. Кампања, која се такође прати под називима као што су ДецептивеДевелопмент и ДЕВ#ПОППЕР, наставља да се развија, користећи све софистицираније тактике.

Спуштање БеаверТаил и ИнвисиблеФеррет

Секвенца напада обично резултира применом БеаверТаил-а, малвера заснованог на ЈаваСцрипт-у дизајнираног да извуче осетљиве податке из претраживача и новчаника за криптовалуте. Овај злонамерни софтвер такође делује као механизам за испоруку додатног терета — бацкдоор заснован на Питхон-у познат као ИнвисиблеФеррет.

ОттерЦоокие: Још један слој штетне активности

У децембру 2024. истраживачи сајбер безбедности из Јапана идентификовали су још једну компоненту у ланцу напада: варијанту малвера под називом ОттерЦоокие . Овај ЈаваСцрипт малвер је конфигурисан да преузима и извршава додатне штетне корисне садржаје, додатно проширујући могућности инфекције.

Рафинисање тактике избегавања помоћу обмане у стилу ЦлицкФик

Када је породица малвера ФЕРРЕТ откривена крајем 2024. године, истраживачи су приметили да нападачи усавршавају своје методе како би боље избегли откривање. Једна значајна техника укључује приступ у стилу ЦлицкФик-а, који обмањује кориснике да копирају и изврше небезбедну команду у апликацији мацОС Терминал под изговором да решавају проблеме са приступом камери и микрофону.

Циљање на тражиоце посла преко ЛинкедИн-а

Почетна фаза ових напада често почиње са ЛинкедИн-ом, где се актери претњи представљају као регрути. Њихов примарни циљ је да убеде потенцијалне жртве да се подвргну видео процени, што на крају води до инсталирања бацкдоор-а заснованог на Голангу. Овај злонамерни софтвер је посебно подмукао, дизајниран да одвуче средства криптовалуте из МетаМаск новчаника, а истовремено омогућава нападачима да изврше команде на компромитованом уређају.

Разбијање компоненти ФЕРРЕТ малвера

Истраживачи су идентификовали неколико компоненти повезаних са породицом малвера ФЕРРЕТ, од којих свака има посебну функцију у секвенци напада:

• ФРОСТИФЕРРЕТ_УИ: Корисно оптерећење у почетној фази, често прерушено у ЦхромеУпдате или ЦамераАццесс апликације.
• ФРИЕНДЛИФЕРРЕТ_СЕЦД: Секундарна позадинска врата заснована на Го-у позната као „цом.аппле.сецд“, која је раније била повезана са кампањом за скривени ризик која циља предузећа криптовалута.
• МУЛТИ_ФРОСТИФЕРРЕТ_ЦМДЦОДЕС: Го конфигурациона датотека која подржава функцију позадинских врата друге фазе.

ФлекиблеФеррет: Успостављање постојаности на мацОС-у

Откривен је и посебан скуп артефаката злонамерног софтвера који се назива ФлекиблеФеррет. Ова варијанта се фокусира на одржавање постојаности унутар зараженог мацОС система помоћу ЛаунцхАгент-а. Малвер се испоручује преко инсталационог пакета под називом ИнсталлерАлерт, који одражава функционалност „ФРОСТИФЕРРЕТ_УИ“.

Проширивање вектора напада изван оних који траже посао

Док су узорци ФлекиблеФеррет дистрибуирани као Аппле Инсталлер пакети, прецизан метод који је коришћен да се жртве убеде да их изврше остаје нејасан. Међутим, докази сугеришу да се малвер такође шири стварањем лажних проблема на легитимним ГитХуб репозиторијумима. Ова промена у тактици сигнализира ширу стратегију циљања која се протеже изван оних који траже посао, циљајући на програмере и друге професионалце у технолошкој индустрији.

Док севернокорејски сајбер актери настављају да усавршавају своје обмањујуће методе, стручњаци за безбедност позивају на повећану будност приликом ангажовања са онлајн понудама за посао и захтевима за инсталацију софтвера.