Исследователи безопасности опубликовали подробную информацию о DazzleSpy — вредоносном ПО для Mac, которое позволяло вести регистрацию клавиш, делать снимки экрана, получать доступ к микрофону и многое другое.
DazzleSpy использовался для нацеливания на гонконгских демократических активистов, сначала через поддельный продемократический веб-сайт, а затем через настоящий, в ходе так называемой атаки на водопой…
Вчера мы узнали об угоне веб-камеры Mac. К счастью, это открытие было сделано студентом, изучающим кибербезопасность, который сообщил об этом в Apple. Но DazzleSpy использовался в дикой природе.
Задний план
Группа анализа угроз Google (TAG) впервые сообщила об атаке еще в ноябре прошлого года.
Чтобы защитить наших пользователей, TAG регулярно ищет уязвимости нулевого дня, используемые в реальных условиях. В конце августа 2021 года TAG обнаружила атаки на водопой, нацеленные на посетителей гонконгских веб-сайтов СМИ и известной продемократической рабочей и политической группы. Водопоем послужила уязвимость повышения привилегий XNU (CVE-2021-30869), неисправленная в macOS Catalina, которая привела к установке ранее не зарегистрированного бэкдора. […]
Основываясь на наших выводах, мы считаем, что этот злоумышленник представляет собой группу с хорошими ресурсами, вероятно, поддерживаемую государством, с доступом к собственной команде разработчиков программного обеспечения на основе качества кода полезной нагрузки.
Атаки с водопоем названы так потому, что они используются в местах, где могут собираться цели, например, на определенных типах веб-сайтов.
Вредоносное ПО DazzleSpy для Mac
Хотя Google в то время раскрыл некоторые подробности, оказалось, что исследователи безопасности из ESET обнаружили это первыми, и теперь фирма опубликовала более подробную информацию.
Основываясь на веб-сайтах, использованных для атаки, несложно понять, кто за ней стоит.
Феликс Эме из SEKOIA.IO сообщил, что один из веб-сайтов, используемых для распространения эксплойтов, был поддельным веб-сайтом, нацеленным на гонконгских активистов. На его домашней странице мы можем прочитать «Освободите Гонконг, революция нашего времени». Самая свежая дата регистрации на fightforhk[.]com, 19 октября 2021 года, и тот факт, что веб-сайт больше не доступен, подтверждают эту идею. Мы также можем подтвердить, что Интернет-архив кэшировал копию веб-страницы 13 ноября.
Исследователи ESET обнаружили еще один веб-сайт, на этот раз законный, но скомпрометированный, который также распространял тот же эксплойт в течение нескольких месяцев до публикации Google TAG: гонконгская продемократическая радиостанция D100. Как видно на рисунке 2, iframe был внедрен на страницы, обслуживаемые bc.d100.[.]net — раздел веб-сайта, которым пользовались подписчики — с 30 сентября по 4 ноября 2021 года.
В коде также используется китайский язык, а даты и время информации, отправляемой обратно на сервер, преобразуются в часовой пояс Шанхая.
Атака использовала эксплойт WebKit. Эксплойт сложный — с более чем 1000 строк кода — поэтому вам нужно прочитать сообщение в блоге для подробного понимания, но краткое изложение таково:
Загружает файл с URL-адреса, указанного в качестве аргумента. Расшифровывает этот файл с помощью AES-128-EBC и TEA с пользовательской дельтой. Записывает полученный файл в $TMPDIR/airportpaird и делает его исполняемым. Использует эксплойт повышения привилегий для удаления com.apple. карантинатрибут из файла, чтобы не запрашивать у пользователя подтверждение запуска неподписанного исполняемого файла. Использует такое же повышение привилегий для запуска следующего этапа с привилегиями root
Это дает вредоносному ПО права администратора без взаимодействия с пользователем.
Сама вредоносная программа чрезвычайно мощная, позволяя злоумышленнику получить доступ к нескольким командам:
searchFile Ищет указанный файл на скомпрометированном компьютере. scanFiles Перечисляет файлы в папках «Рабочий стол», «Загрузки» и «Документы». cmd Выполняет предоставленную команду оболочки. restartCMD Перезапускает сеанс оболочки. processInfo Перечисляет запущенные процессы. keychain Создает дамп связки ключей с использованием эксплойта CVE-2019-8526, если версия macOS ниже 10.14.4. Используется общедоступная цепочка ключей KeySteal. downloadFileInfo Перечисляет предоставленную папку или предоставляет или предоставляет временные метки создания и изменения и хэш SHA-1 для предоставленного имени файла. downloadFile Эксфильтрует файл по указанному пути. файл Операции с файлами: предоставляет информацию, переименовывает, удаляет, перемещает или запускает файл по указанному пути. RDP Запускает или завершает сеанс удаленного экрана. acceptFileInfo Готовится к передаче файла (создает папку по указанному пути, изменяет атрибуты файла, если он существует). acceptFile Записывает предоставленный файл на диск. С дополнительными параметрами обновляет себя или записывает файлы, необходимые для acceptFile, эксплуатирующего уязвимость CVE-2019-8526.
Apple исправила использованные уязвимости — как всегда, напоминание об обновлении ваших устройств.
Через Макворлд. Фото: TheRegisti/Unsplash.
