Кампанія «Safari» від Північної Кореї доставляє RAT

Резюме

У статті розглядається нова шкідлива програма для macOS під назвою Mach-O Man, яка пов’язана з відомим підрозділом Chollima групи Lazarus. Шкідливе програмне забезпечення поширюється через скомпрометовані акаунти Telegram і фальшиві запрошення на зустрічі, які переконують цілі запускати команду ClickFix на своїх пристроях. Інструментарій включає кілька виконуваних Mach-O файлів, призначених для збору деталей про хост, підтримання стійкості та крадіжки облікових даних і даних браузера, при цьому дані передаються через Telegram. Кампанія, схоже, зосереджена на біржах криптовалют та інших організаціях у фінансовому секторі.

Розслідування

Дослідники виявили бінарний файл інсценування з назвою teamsSDK.bin який було завантажено та виконано через послідовність шкідливих команд. Додаткові компоненти, включаючи D1yCPUyk.bin, minst2.bin, і macrasv2, потім використовувалися для інвентаризації системи, створення LaunchAgent для стійкості та збору розширень браузера, даних keychain і файлів cookie. Комунікація командно-контрольного сервера покладалася на сервер HTTP на основі Go, що відкрите кінцеву точку без автентифікації /info і витік токена API бота Telegram. Слідчі також виявили сервіси віддаленого доступу, такі як RDP, WinRM і Chrome Remote Desktop, що відкрили на хості C2.

Зменшення ризиків

Користувачі повинні уникати взаємодії з небажаними посиланнями на зустрічі та підтверджувати легітимність будь-яких термінальних команд, запропонованих під час несподіваних розмов. Організації повинні стежити за несанкціонованими LaunchAgents, вимагати підписання довіреним кодом для виконуваних файлів macOS і обмежувати виконання невідомих файлів. Захист мережі має блокувати вихідні з’єднання із підозрілими HTTP-серверами на основі Go і позначати трафік, що використовує агент Go-http-client юзер агент. Токени бота Telegram повинні бути захищені від розголосу, а сервіси віддаленого доступу повинні бути обмежені контролем доступу з мінімальними привілеями.

Реагування

Команди безпеки повинні виявляти виконання невідомих .bin файлів і стежити за створенням LaunchAgents під назвою com.onedrive.launcher. Також слід генерувати сповіщення про вихідні з’єднання з підозрілою інфраструктурою, що використовують Go-http-client агент, а також повторні POST-запити до /info кінцевих точок. Оборонці повинні стежити за несподіваною активністю API Telegram, пов’язаною з невідомими токенами ботів. Повний форенсік хосту повинен бути проведений для виявлення та видалення всіх шкідливих бінарних файлів, після чого слід скинути облікові дані для будь-яких облікових записів, які могли бути скомпрометовані.

Імітація виконання

Необхідна умова: перевірка телеметрії та базової конфігурації повинна пройти.

Аргументація: цей розділ детально описує точне виконання техніки супротивника (T1546.006 / T1587.001), призначеної для запуску правила виявлення. Команди відображають реалістичне розгортання «living-off-the-land» з бінарними файлами Mach-O Man.

• Наратив атаки та команди:

  1. Атакувальник, який вже отримав доступ до хоста macOS, копіює чотири бінарних файли Mach-O Man з місця підготовки (/tmp/stage) у записувану директорію (/usr/local/bin).
  2. Бінарні файли робляться виконуваними і запускаються послідовно, щоб імітувати ініціалізацію комплексу, розвідку, стійкість та фази крадіжки облікових даних.
  3. Стійкість досягається шляхом запису плейлиста запуску демонів, що вказує на minst2.bin.

  # Крок 1 - Підготовка бінарних файлів (імітується копіюванням з папки тестових активів)
  mkdir -p /usr/local/bin/macho
  cp ./assets/teamsSDK.bin /usr/local/bin/macho/
  cp ./assets/D1YrHRTg.bin /usr/local/bin/macho/
  cp ./assets/minst2.bin   /usr/local/bin/macho/
  cp ./assets/macrasv2    /usr/local/bin/macho/
  
  # Крок 2 - Надання виконуваних прав
  chmod +x /usr/local/bin/macho/*.bin
  
  # Крок 3 - Виконання бінарних файлів інсценування та розвідки
  /usr/local/bin/macho/teamsSDK.bin &
  /usr/local/bin/macho/D1YrHRTg.bin &
  
  # Крок 4 - Встановлення стійкості (запуск демона) для minst2.bin
  cat <<'EOF' > /Library/LaunchDaemons/com.macho.minst2.plist
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  sudo launchctl load -w /Library/LaunchDaemons/com.macho.minst2.plist
  
  # Крок 5 - Виконання компонента крадіжки облікових даних/ексфілу
  /usr/local/bin/macho/macrasv2 &

• Скрипт тестування регресії: (самостійний bash-скрипт, що відтворює наведені вище кроки)

  #!/usr/bin/env bash
  set -euo pipefail
  
  # --- ЗМІННІ -------------------------------------------------
  BIN_DIR="/usr/local/bin/macho"
  ASSET_DIR="$(pwd)/assets"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # --- ПОПЕРЕДНІЙ ЗАСІБ -------------------------------------------------
  if [[ $(id -u) -ne 0 ]]; then
    echo "Скрипт вимагає прав адміністратора для встановлення запуску демона. Перезапустіть із sudo."
    exit 1
  fi
  
  # --- РОЗГОРТАННЯ БІНАРНИХ ФАЙЛІВ -------------------------------------------
  mkdir -p "$BIN_DIR"
  for bin in teamsSDK.bin D1YrHRTg.bin minst2.bin macrasv2; do
    cp "$ASSET_DIR/$bin" "$BIN_DIR/$bin"
    chmod +x "$BIN_DIR/$bin"
  done
  
  # --- ВИКОНАННЯ ПІДГОТОВКИ ТА РОЗВІДКИ ------------------------------------
  "$BIN_DIR/teamsSDK.bin" &
  "$BIN_DIR/D1YrHRTg.bin" &
  
  # --- СТІЙКІСТЬ (запуск демона) -------------------------------
  cat <<'EOF' > "$PLIST"
  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>Label</key><string>com.macho.minst2</string>
      <key>ProgramArguments</key>
      <array>
          <string>/usr/local/bin/macho/minst2.bin</string>
      </array>
      <key>RunAtLoad</key><true/>
  </dict>
  </plist>
  EOF
  launchctl load -w "$PLIST"
  
  # --- ВИКОНАННЯ КОМПОНЕНТА КРАДІЖКИ ОБЛІКОВИХ ДАНИХ -----------------------
  "$BIN_DIR/macrasv2" &
  
  echo "Імітація виконана – зачекайте кілька секунд для появи телеметрії."

• Команди очистки:

  #!/usr/bin/env bash
  set -euo pipefail
  
  BIN_DIR="/usr/local/bin/macho"
  PLIST="/Library/LaunchDaemons/com.macho.minst2.plist"
  
  # Від'єднати демон запуску
  if [[ -f "$PLIST" ]]; then
    sudo launchctl unload -w "$PLIST"
    sudo rm -f "$PLIST"
  fi
  
  # Зупинити будь-які залишкові шкідливі процеси
  pkill -f teamsSDK.bin || true
  pkill -f D1YrHRTg.bin || true
  pkill -f minst2.bin   || true
  pkill -f macrasv2    || true
  
  # Видалити бінарні файли
  sudo rm -rf "$BIN_DIR"
  
  echo "Очищення завершене."