Brakujący element – wykryto wyrafinowanego backdoora dla systemu OS X

Polski

Kalendarz

Kanały RSS Kontakt Ankiety

Szukaj

Stan zagrożeń w internecie znajduje się obecnie na poziomie standardowym. Nie występują duże epidemie a eksperci z Kaspersky Lab nie zanotowali żadnych poważnych incydentów związanych z bezpieczeństwem.

Poziom zagrożenia: 1

Śledź nas na

Brakujący element – wykryto wyrafinowanego backdoora dla systemu OS X

Stefan Ortloff
Kaspersky Lab Expert

Dodany 8 września 2016, 11:55 CEST

W skrócie

Backdoor.OSX.Mokes to niedawno wykryty wariant wieloplatformowego backdoora dla systemu OS X, który potrafi działać na wszystkich głównych systemach operacyjnych (Windows, Linux, OS X). Dostępna jest również nasza analiza dotycząca wariantów dla systemu Windows i Linux (j. ang.).
Opisywana rodzina szkodliwego oprogramowania potrafi kraść różne rodzaje danych z maszyny ofiary (zrzuty ekranu, przechwycone dane audio/wideo, dokumenty biurowe, uderzenia klawiszy)
Backdoor potrafi również wykonywać losowe polecenia na komputerze ofiary
W celu komunikacji wykorzystuje mocne szyfrowanie AES256CBC

Informacje wprowadzające

W styczniu tego roku zidentyfikowaliśmy nową rodzinę backdoorów wieloplatformowych stworzonych dla środowisk desktopowych. Po wykryciu binariów dla systemów Linux i Windows w końcu trafiliśmy na wersję Mokes.A, stworzoną dla systemu OS X. Została ona napisana w języku C++ przy użyciu Qt, wieloplatformowej struktury aplikacji, i jest statycznie połączona z OpenSSL. Rozmiar pliku wynosi około 14MB. Przyjrzyjmy się tej świeżej próbce.

„Rozpakowany” Backdoor.OSX.Mokes.a

Jej nazwa pliku została „rozpakowana”, gdy trafiła w nasze ręce, ale zakładamy, że „na wolności” występuje spakowana, podobnie jak jej wariant dla Linuksa.

Uruchomienie

Po tym, jak zostanie uruchomione po raz pierwszy, szkodliwe oprogramowanie kopiuje się do pierwszej dostępnej spośród poniższych lokalizacji, w następującej kolejności:

$HOME/Library/App Store/storeuserd $HOME/Library/com.apple.spotlight/SpotlightHelper $HOME/Library/Dock/com.apple.dock.cache $HOME/Library/Skype/SkypeHelper $HOME/Library/Dropbox/DropboxCache $HOME/Library/Google/Chrome/nacld $HOME/Library/Firefox/Profiles/profiled

Odpowiednio do tej lokalizacji tworzy plik .plist w celu przetrwania w systemie:

Następnie przychodzi pora na nawiązanie pierwszego połączenia z serwerem kontroli (C&C) przy użyciu HTTP na porcie TCP 80:

Ciąg Agent-użytkownik jest zakodowany na sztywno w binarium, a serwer odpowiada na to żądanie „pulsu” poprzez treść „text/html” o długości 208 bajtów. Następnie, binarium nawiązuje zaszyfrowane połączenie na porcie TCP 443 przy użyciu algorytmu AES256CBC.

Funkcjonalność backdoora

Kolejnym zadaniem jest skonfigurowanie funkcji backdoora:

Przechwytywanie danych audio

Monitorowanie nośników wymiennych

Przechwytywanie ekranu (co 30 sek.)

Skanowanie systemu plików w celu znalezienia dokumentów biurowych (xls, xlsx, doc, docx)

Osoba atakująca, która kontroluje serwer kontroli (C&C), może również zdefiniować własne filtry plików w celu usprawnienia monitorowania systemu plików jak również wykonywania losowych poleceń w systemie.

Podobnie jak w przypadku innych platform, szkodnik ten tworzy kilka plików tymczasowych zawierających zgromadzone dane, w przypadku gdy serwer kontroli (C&C) nie jest dostępny.