Nordkoreas Safari-Kampagne liefert RATs

Zusammenfassung

Der Artikel beschreibt ein neues macOS-Malware-Framework namens Mach-O Man, das mit der berühmten Chollima-Einheit der Lazarus-Gruppe in Verbindung gebracht wird. Die Malware wird über kompromittierte Telegram-Accounts und gefälschte Meeting-Einladungen verbreitet, die die Ziele dazu überreden, einen ClickFix-Befehl auf ihren Geräten auszuführen. Das Toolkit umfasst mehrere Mach-O-Binärdateien, die dazu bestimmt sind, Hostdetails zu sammeln, Persistenz aufrechtzuerhalten und Anmeldedaten sowie Browserdaten zu stehlen, wobei die Exfiltration über Telegram erfolgt. Die Kampagne scheint auf Kryptowährungsbörsen und andere Organisationen im Finanzsektor abzuzielen.

Untersuchung

Forscher identifizierten eine Staging-Binärdatei namens teamsSDK.bin , die durch eine bösartige Befehlsfolge heruntergeladen und ausgeführt wurde. Weitere Komponenten, einschließlich D1yCPUyk.bin, minst2.bin, und macrasv2, wurden dann verwendet, um das System aufzulisten, einen LaunchAgent für die Persistenz zu erstellen und Browsererweiterungen, Schlüsselbunddaten und Cookies zu ernten. Die Kommando- und Kontrollkommunikation stützte sich auf einen Go-basierten HTTP-Server, der einen nicht authentifizierten /info Endpunkt freigab und ein Telegram-Bot-API-Token leckte. Ermittler fanden auch Remote-Access-Dienste wie RDP, WinRM und Chrome Remote Desktop, die auf dem C2-Host exponiert waren.

Minderung

Benutzer sollten vermeiden, mit unerwünschten Meeting-Links zu interagieren und die Legitimität von Terminalbefehlen, die während unerwarteter Gespräche vorgeschlagen werden, zu überprüfen. Organisationen sollten auf nicht autorisierte LaunchAgents achten, das Signieren von vertrauenswürdigem Code für macOS-Binärdateien verlangen und die Ausführung unbekannter Dateien beschränken. Netzwerkschutzmaßnahmen sollten ausgehende Verbindungen zu verdächtigen Go-basierten HTTP-Servern blockieren und Verkehr mit dem Go-http-client User-Agent kennzeichnen. Telegram-Bot-Tokens sollten vor unbefugtem Zugriff geschützt werden, und Remotedesktopdienste sollten mit Zugriffssteuerungen nach dem geringsten Privileg gesichert werden.

Reaktion

Sicherheitsteams sollten die Ausführung unbekannter .bin Dateien erkennen und die Erstellung von LaunchAgents mit dem Namen com.onedrive.launcherüberwachen. Warnmeldungen sollten auch bei ausgehenden Verbindungen zu verdächtiger Infrastruktur mit dem Go-http-client User-Agent sowie bei wiederholten POST-Anfragen an /info Endpunkte ausgelöst werden. Verteidiger sollten auf unerwartete Telegram-API-Aktivitäten achten, die mit unbekannten Bot-Tokens verbunden sind. Eine umfassende Host-Forensik sollte durchgeführt werden, um alle bösartigen Binärdateien zu identifizieren und zu entfernen, gefolgt von Anmelde-Reset für alle möglicherweise kompromittierten Konten.

Simulation Execution

Voraussetzung: Der Telemetrie- und Ausgangszustand-Preflight-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (T1546.006 / T1587.001), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle spiegeln eine realistische „Leben-von-dem-Land“-Bereitstellung der Mach-O Man-Binärdateien wider.

• Angriffsbericht und Befehle:

  1. Ein Angreifer, der bereits Fuß auf dem macOS-Host gefasst hat, kopiert die vier Mach-O Man Binärdateien von einem Staging-Verzeichnis (/tmp/stage) in ein beschreibbares Verzeichnis (/usr/local/bin).
  2. Die Binärdateien werden ausführbar gemacht und nacheinander gestartet, um die Initialisierungs-, Aufklärungs-, Persistenz- und Anmeldedaten-Diebstahl-Phasen des Kits zu simulieren.
  3. Persistenz wird durch Schreiben eines Launch Daemon plist erreicht, das auf minst2.bin.

  # Schritt 1 – Stage die Binärdateien (simuliert durch das Kopieren aus einem Test-Assets-Ordner)
  mkdir -p /usr/local/bin/macho
  cp ./assets/teamsSDK.bin /usr/local/bin/macho/
  cp ./assets/D1YrHRTg.bin /usr/local/bin/macho/
  cp ./assets/minst2.bin   /usr/local/bin/macho/
  cp ./assets/macrasv2    /usr/local/bin/macho/
  
  # Schritt 2 – Machen Sie sie ausführbar
  chmod +x /usr/local/bin/macho/*.bin
  
  # Schritt 3 – Führen Sie die Stager- und Aufklärungs-Binärdateien aus
  /usr/local/bin/macho/teamsSDK.bin &
  /usr/local/bin/macho/D1YrHRTg.bin &
  
  # Schritt 4 – Installieren Sie die Persistenz (Launch Daemon) für minst2.bin
  cat <<'EOF' > /Library/LaunchDaemons/com.macho.minst2.plist
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  sudo launchctl load -w /Library/LaunchDaemons/com.macho.minst2.plist
  
  # Schritt 5 – Führen Sie die Komponente für den Anmeldedatendiebstahl/-exfiltration aus
  /usr/local/bin/macho/macrasv2 &

• Regression Test Script: (eigenständiges Bash-Skript, das die obigen Schritte reproduziert)

  #!/usr/bin/env bash
  set -euo pipefail
  
  # --- VARIABLEN -------------------------------------------------
  BIN_DIR="/usr/local/bin/macho"
  ASSET_DIR="$(pwd)/assets"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # --- VORPRÜFUNG -------------------------------------------------
  if [[ $(id -u) -ne 0 ]]; then
    echo "Das Skript erfordert Root-Rechte, um den Launch Daemon zu installieren. Erneut mit sudo ausführen."
    exit 1
  fi
  
  # --- BINÄRDATEIEN BEREITSTELLEN ----------------------------------
  mkdir -p "$BIN_DIR"
  for bin in teamsSDK.bin D1YrHRTg.bin minst2.bin macrasv2; do
    cp "$ASSET_DIR/$bin" "$BIN_DIR/$bin"
    chmod +x "$BIN_DIR/$bin"
  done
  
  # --- STAGER & RECON AUSFÜHREN -----------------------------------
  "$BIN_DIR/teamsSDK.bin" &
  "$BIN_DIR/D1YrHRTg.bin" &
  
  # --- PERSISTENZ (Launch Daemon) ----------------------------------
  cat <<'EOF' > "$PLIST"
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  launchctl load -w "$PLIST"
  
  # --- AUSFÜHREN DER COMPONENT FÜR ANMELDEDATENDIEBSTAHL -----------
  "$BIN_DIR/macrasv2" &
  
  echo "Simulation ausgeführt – Warten Sie ein paar Sekunden, bis die Telemetrie angezeigt wird."

• Bereinigungsbefehle:

  #!/usr/bin/env bash
  set -euo pipefail
  
  BIN_DIR="/usr/local/bin/macho"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # Launch Daemon entladen
  if [[ -f "$PLIST" ]]; then
    sudo launchctl unload -w "$PLIST"
    sudo rm -f "$PLIST"
  fi
  
  # Alle verbliebenen bösartigen Prozesse beenden
  pkill -f teamsSDK.bin || true
  pkill -f D1YrHRTg.bin || true
  pkill -f minst2.bin   || true
  pkill -f macrasv2    || true
  
  # Binärdateien entfernen
  sudo rm -rf "$BIN_DIR"
  
  echo "Bereinigung abgeschlossen."