Mac-computers doelwit van beruchte groep cyberspionnen
Onderzoekers hebben een Trojaans paard van een beruchte groep cyberspionnen ontdekt dat ontwikkeld is om Mac-computers te infecteren. De malware wordt Komplex genoemd en is volgens het Amerikaanse beveiligingsbedrijf Palo Alto Networks gemaakt door de Pawn Storm-groep.
Deze groep cyberspionnen staat ook bekend als 'Fancy Bear', 'Sofacy', 'Sednit', 'APT28', Threat Group-4127 en 'Strontium'. Eerder werden de onderzoeksraad van MH17, verschillende ministeries van Buitenlandse Zaken, een Amerikaanse defensieorganisatie, de Turkse overheid, een NAVO-lid, Linuxgebruikers, het CDU, Sanoma, de presidentscampagne van Hillary Clinton en het Wereld Anti-Doping Agentschap (WADA) door de groep aangevallen.
Tijdens het onderzoek naar de malware ontdekten de onderzoekers dat Komplex al eens eerder bij een aanval op Mac-gebruikers was ingezet. Toen werd er een beveiligingslek in MacKeeper gebruikt om het Trojaanse paard te verspreiden. Vorig jaar mei werd er een kwetsbaarheid in MacKeeper ontdekt waardoor een aanvaller willekeurige code met rootrechten kon uitvoeren, zonder al teveel interactie van de gebruiker.
Bij de nu waargenomen aanvallen zijn waarschijnlijk personen of organisaties in de luchtvaartindustrie het doelwit. Slachtoffers ontvangen een e-mailbijlage die uit de malware, een script en een pdf-bestand bestaat. Gebruikers die de bijlage vanuit hun e-mailprogramma openen denken dat ze alleen een pdf-document openen, terwijl er in werkelijkheid malware wordt geïnstalleerd. Om gebruikers niets te laten vermoeden krijgen ze het pdf-bestand in de kwaadaardige bijlage te zien.
Via de Trojan hebben aanvallers volledige controle over het systeem. Zo kunnen de aanvallers bestanden uitvoeren en verwijderen, aanvullende bestanden downloaden en direct de systeemshell beïnvloeden. "Hoewel gedetailleerde informatie over de aanvalscampagne op dit moment niet beschikbaar is, denken we dat Komplex tegen personen in de luchtvaartindustrie is gebruikt, alsmede bij aanvallen waarbij er een beveiligingslek in MacKeeper werd gebruikt", aldus de onderzoekers. Tijdens de analyse naar de malware kwamen ze allerlei overeenkomsten tegen met andere malware van de Pawn Storm-groep, waardoor de link met deze groep cyberspionnen werd gelegd.
PLOINK! Valt niks meer over te zeggen
Ik heb het al zo vaak opgemerkt hier.
De gedane moeite voor een OS X malware exemplaar verraadt vaak al uit welke hoek het komt, hoe geavanceerder hoe groter de kans dat het staatsmalware (of bedrijven die dat leveren) betreft.
Kijk maar
Malware om Hackintoshes te targeten??
https://en.wikipedia.org/wiki/OSx86
WOW!
Dan ben je heel gemotiveerd.
Of het wat oplevert is wat anders.
Vermoed namelijk niet dat er veel (kuch) hackintoshes staan op airports e.d.
Het stuk is me wat te technisch maar ik heb de indruk dat met het direct gebruik van shellcode de geconstateerde wijzigingen op allerlei root bestanden alleen werkt onder een admin account.
Wanneer de gebruiker werkt onder een standaard account heb je simpelweg de rechten niet om dergelijke wijzigingen te laten wegschrijven.
Dan gebruik je dus de overbekende meelift methode die als het voorkomt wordt toegepast bij misbruik van Mac OS X.
Je stopt de kwaadaardige code in een programmaatje dat om adminrechten vraagt bij installatie.
Nou is Mac-keeper inderdaad zo'n soort programma, heel bekend zelfs.
Echter is het wellicht niet zo handig gekozen want het programma is berucht en ik mag hopen dat elke systeem beheerder die bij zijn verstand is geen gebruik maakt van dit soort rotzooi bij zijn of haar beheerderstaken.
Mocht er op de Airport (of andere belangrijke instellingen) op belangrijke afdelingen worden gewerkt met Mac's, dan mag je toch hopen dat die personen aldaar niet onder een admin account werken en ook beperkte rechten hebben.
Ergo, dat ze helemaal geen rechten hebben om op admin niveau taken uit te rechten en dus ook app's te installeren.
Daarnaast mag je hopen dat op dergelijke plekken men gebruikmaakt van extra firewallls en apps niet zomaar naar buiten kunnen bellen.
Daar horen we Palo niet over (lees ik erover heen?).
Dan houden we over het misbruik van pdf, of gaat het over een mach-o file met een embedded pdf? Dus in aanvang de bekende missende (niet zichtbare) extensie truc?
Ook hier vraag ik me wederom af of dit werkt onder admin of ook onder een standaard account.
Helaas wordt er bijzonder vaak geen aandacht besteedt aan het onderscheid van dergelijke accounts en de werking van malware (of lees ik erover heen?).
O,ja, en zelfs voor het misbruiken van applescript files zal nog een extra hobbel van toestemming moeten worden gegeven.
Ken je het verhaal van de Morrison worm? Best aardig om te zien om welke systemen het ging.
Als je anno 2016 Mackeeper gebruikt heb je als Mac gebruiker toch echt een knoeperd van een bord voor je kop!
Zo'n beetje sinds 2011 is algemeen bekend wat voor een ongelofelijk dubieuze - zeg maar gerust - waardeloze meuk dit softwaresamenraapsel is.
Natuurlijk zullen er wel wel weer de nodige (nieuwe) gebruikers van dit krapuul zijn die met allerlei inmiddels sinds 5 jaar dezelfde totaal zinloze motivaties/ reacties willen gaan schermen; een Macintosh gebruiker die zijn OSX lief heeft blijft mijlenver van dit prul op software gebied verwijderd, in de wetenschap voor te zijn dat op een ongunstig moment een hopelijk niet reeds door mackeeper vervuilde TM-kopie noodzakelijkerwijze terug moet worden gezet.
(zo dat moest ik even kwijt.pfff)
Deze posting is gelocked. Reageren is niet meer mogelijk.
CTF/Challenge Developer
Wil jij ook werken bij het leukste securitybedrijf van Nederland en je coding skills in te zetten voor het ontwikkelen van de nieuwste security challenges voor onze klanten en evenementen zoals bijvoorbeeld #CTC2019 en #ECSC2019?