La Corée du Nord cible les utilisateurs de macOS lors du dernier braquage

Selon Microsoft, les criminels nord-coréens déterminés à voler les informations d’identification et les crypto-monnaies des utilisateurs Apple utilisent une combinaison d’ingénierie sociale et une fausse mise à jour du logiciel Zoom pour inciter les gens à exécuter manuellement des logiciels malveillants sur leurs propres ordinateurs.

L’équipe de renseignement sur les menaces de Redmond suit l’équipage soutenu par Pyongyang sous le nom de Sapphire Sleet (alias APT38). La filiale du groupe Lazarus est en activité depuis au moins 2020 et cible principalement le secteur financier pour voler des portefeuilles de crypto-monnaie et la propriété intellectuelle liée aux plateformes de trading de crypto-monnaie et de blockchain.

Ces attaques commencent par l’ingénierie sociale. L’équipe crée de faux profils de recruteurs sur les réseaux sociaux et les plateformes de réseautage comme LinkedIn, puis contacte les professionnels de la finance avec de fausses opportunités d’emploi avant de planifier un entretien technique : c’est le mécanisme de diffusion du malware.

Et elles font suite à une série d’autres intrusions basées sur l’ingénierie sociale, dont une dans laquelle des attaquants liés à la Corée du Nord ont socialement conçu un responsable d’Axios, compromis son compte et publié des versions malveillantes de la bibliothèque JavaScript open source contenant un cheval de Troie d’accès à distance.

« L’ingénierie sociale permet aux attaquants de contourner des périmètres renforcés en convainquant les utilisateurs d’agir en leur nom, transformant ainsi un être humain en vulnérabilité. C’est peu coûteux, difficile à corriger et évolutif », a déclaré Sherrod DeGrippo, directeur général de Microsoft Global Threat Intelligence. Le registre.

« Les utilisateurs sont conditionnés à accepter les interactions d’assistance à distance comme le téléchargement d’outils, le suivi des instructions, le clic sur les invites », a-t-elle ajouté. « Les attaquants exploitent cette familiarité pour donner l’impression que les actions malveillantes sont routinières, réduisant ainsi le scepticisme des victimes au moment critique de la compromission. »

Dans sa dernière campagne, Sapphire Sleet envoie aux victimes une fausse invitation à une réunion d’assistance Zoom, puis leur demande de télécharger un fichier appelé Zoom SDK Update.scpt. Il s’agit d’un AppleScript compilé qui s’ouvre par défaut dans macOS Script Editor et ressemble à une mise à jour légitime du SDK Zoom, commençant par un grand bloc de commentaires d’instructions de mise à jour pour le faire apparaître comme une véritable mise à jour logicielle.

Mauvaises commandes Apple (Script)

Sous le contenu leurre, le script insère des milliers de lignes vides pour pousser la logique malveillante sous la vue déroulante de la fenêtre de l’éditeur de script et réduire les chances que la victime le remarque. Tout d’abord, il lance une commande qui appelle le binaire légitime de mise à jour du logiciel macOS, mais avec un paramètre non valide. Cela ne fait essentiellement que lancer un processus de confiance signé par Apple pour donner à la mise à jour logicielle un aspect légitime.

Ensuite, le script exécute sa charge utile malveillante via curl pour récupérer un nouveau AppleScript contrôlé par l’attaquant qui se lance directement dans le contexte de l’éditeur de script et garantit que les charges utiles supplémentaires sont téléchargées et exécutées de manière dynamique.

« Lorsque l’utilisateur ouvre le fichier Zoom SDK Update.scpt, macOS lance le fichier dans l’éditeur de script, permettant à Sapphire Sleet de passer d’un fichier leurre unique à une chaîne de charge utile en plusieurs étapes récupérée dynamiquement », a expliqué Redmond dans un rapport de jeudi.

« À partir de ce processus unique, l’attaque entière se déroule à travers une chaîne en cascade de commandes curl, chacune récupérant et exécutant des charges utiles AppleScript de plus en plus complexes. Chaque étape utilise une chaîne d’agent utilisateur distincte comme identifiant de suivi de campagne. »

Chaque agent utilisateur curl récupère un élément malveillant différent qui répond à son propre objectif dans la chaîne d’attaque, depuis l’orchestration et la porte dérobée des machines des victimes, jusqu’à la reconnaissance et l’enregistrement du système compromis avec l’infrastructure de commande et de contrôle (C2) de Sapphire Sleet, jusqu’au contournement des protections macOS TCC, et finalement à la collecte d’informations d’identification et à l’exfiltration de données sensibles – portefeuilles, historique du navigateur et autres informations, trousseaux, notes Apple et informations de connexion Telegram.

Chaque étape de la campagne abuse également des outils Apple natifs ou imite les conventions de dénomination Apple pour dissimuler l’activité illicite. Par exemple : le binaire de surveillance de l’hôte est appelé com.apple.cli pour aider à masquer l’exécutable Mach-O de 5 Mo avec une convention de dénomination de style Apple.

Le voleur d’informations d’identification, fourni via une charge utile AppleScript exécutée via osascript, supprime une application macOS malveillante nommée systemupdate.app qui se fait passer pour un utilitaire de mise à jour logicielle et, une fois lancée, affiche une boîte de dialogue de mot de passe macOS native qui ressemble beaucoup à une invite système légitime. La boîte de dialogue invite l’utilisateur à saisir son mot de passe « pour effectuer une mise à jour logicielle », ce qui permet à Sapphire Sleet d’obtenir des informations d’identification utilisateur valides, en les exfiltrant à l’aide de l’API Telegram Bot.

De plus, l’une des portes dérobées utilisées dans cette campagne – icloudz – est nommée pour imiter un artefact légitime lié à iCloud et utilise également l’API macOS NSCreateObjectFileImageFromMemory pour charger des charges utiles supplémentaires directement dans la mémoire.

Microsoft a divulgué cette campagne à Apple, et le fabricant de Mac a depuis mis en place « des protections au niveau de la plate-forme pour aider à détecter et bloquer l’infrastructure et les logiciels malveillants associés à cette campagne », nous dit-on. Apple n’a pas répondu Le registre enquêtes.

Cependant, selon Redmond, Apple a déployé les protections Apple Safe Browsing dans Safari pour détecter et bloquer les infrastructures malveillantes associées à cette campagne, et a également déployé les signatures XProtect pour détecter et bloquer les familles de logiciels malveillants liées à Sapphire Sleet. Les appareils MacOS reçoivent automatiquement ces mises à jour de signature, vous n’avez donc rien à faire du point de vue de l’utilisateur.

Une chose que les organisations peuvent faire pour protéger leurs utilisateurs et elles-mêmes contre cette campagne et d’autres campagnes d’ingénierie sociale est d’informer les gens sur les menaces provenant de LinkedIn et d’autres sites de médias sociaux, en particulier les communications non sollicitées demandant aux utilisateurs de télécharger des logiciels ou d’installer des outils de réunion virtuelle.

« Les utilisateurs ne doivent jamais exécuter de scripts ou de commandes partagés via des messages, des appels ou des discussions sans l’approbation préalable de leurs équipes informatiques ou de sécurité », prévient Redmond. ®