研究人員分析了XCSSET惡意軟件攻擊最新macOS 11（Big Sur）系統(tǒng)的特征。之后，XCSSET惡意軟件攻擊活動又向其工具集中增加了一些新的特征。在其最新的攻擊活動中，研究人員發(fā)現(xiàn)了XCSSET從不同APP中竊取信息的機制。

XCSSET惡意軟件如何竊取信息？

從最初的XCSSET版本開始，研究人員就發(fā)現(xiàn)惡意軟件會從不同的APP中收集數(shù)據(jù)，并發(fā)送回其C2服務(wù)器。但是研究人員并不知道攻擊者如何使用這些數(shù)據(jù)。研究人員最近發(fā)現(xiàn)了XCSSET用來竊取數(shù)據(jù)的工作機制，并發(fā)現(xiàn)其中含有一些可以用于其他目的的敏感信息。

以惡意AppleScript文件“telegram.applescript”為例，該文件名中可以看出telegram就是目標APP。其主邏輯是壓縮文件夾“~/Library/Group Containers/6N38VWS5BX.ru.keepcoder.Telegram”到ZIP文件中，然后上傳該文件到其C2服務(wù)器。

圖 1. telegram.applescript代碼

為找出收集該文件夾的目的，研究人員使用2個Mac機器來執(zhí)行簡單的測試：

?在測試機器A和機器B上都按照telegram應(yīng)用

?在機器A上，登入有效的telegram賬戶。在機器B上不做任何操作。

?將機器A的“~/Library/Group Containers/6N38VWS5BX.ru.keepcoder.Telegram”文件夾復(fù)制到機器B，并替換現(xiàn)有文件夾。

?在機器B上運行telegram。完成后，就登入了與機器A相同的賬戶。

在macOS系統(tǒng)中，應(yīng)用沙箱目錄_{/Library/Containers/com.xxx.xxx和}/Library/Group Containers/com.xxx.xxx可以被普通用戶以讀或?qū)憴?quán)限訪問。這與iOS中的實踐是不同的。此外，并不是所有的可執(zhí)行文件都是在macOS沙箱中的，也就是說一個簡單的腳本就可以竊取沙箱目錄中保存的所有數(shù)據(jù)。因此，研究人員建議應(yīng)用開發(fā)者不要在沙箱目錄中保存敏感信息，尤其是保存于登錄信息相關(guān)的信息。

XCSSET竊取的敏感信息

XCSSET惡意軟件從這些應(yīng)用中竊取了許多的關(guān)鍵隱私數(shù)據(jù)，其中大多數(shù)都保存在沙箱目錄中。下面演示如何在Chrome中竊取敏感信息：

在Chrome中，竊取的數(shù)據(jù)包括用戶保存的密碼，XCSSET惡意軟件需要使用命令security find- generic-password -wa ‘Chrome’來獲取safe_storage_key。但是給命令需要root權(quán)限。為了獲得該權(quán)限，惡意軟件將所有需要root權(quán)限的操作都放在一個單獨的函數(shù)中，如圖2所示：

圖 2. 需要管理員權(quán)限的操作

然后惡意軟件會通過一個偽造的對話框來誘使用戶授予這些權(quán)限：

一旦獲得Chrome safe_storage_key，惡意軟件會解密所有的敏感數(shù)據(jù)并上傳到C2服務(wù)器。

圖 3. 竊取的Chrome信息

圖 4. 竊取Chrome的信息

研究人員還發(fā)現(xiàn)了攻擊以下應(yīng)用的類似的腳本：

?Contacts

?Evernote

?Notes

?Opera

?Skype

?WeChat

新C2域名

從2021年4月20日到4月22日，研究人員發(fā)現(xiàn)了一些新的域名，這些域名都解析到了XCSSET 之前使用過的IP地址94.130.27.189，這些域名包括：

?atecasec.com

?linebrand.xyz

?mantrucks.xyz

?monotal.xyz

?nodeline.xyz

?sidelink.xyz

類似地，域名icloudserv.com會解析到一個非惡意的IP地址94.130.27.189。

這些新的域名都有來自“Let’s Encrypt”的HTTPS證書，有效日期為4月22日到7月21日。

圖 5. C2服務(wù)器的HTTPS證書

從2021年4月22日開始，所有的C2域名都解析到了IP地址 194.87.186.66。5月1日，出現(xiàn)了一個新的域名irc-nbg.v001.com被解析到了原來的C2 IP地址94.130.27.189。該新域名表明在該IP地址上有一個IRC服務(wù)器，這好像與XCSSET惡意軟件是無關(guān)的。

從2021年6月9日到10日，所有與XCSSET C2服務(wù)器相關(guān)的現(xiàn)有域名都被移除了。取而代之的是如下的新域名：

?atecasec.info

?datasomatic.ru

?icloudserv.ru

?lucidapps.info

?relativedata.ru

?revokecert.ru

?safariperks.ru

6月24日，這些服務(wù)器也被攻擊者移除了。目前，研究人員無法定位XCSSET惡意軟件的新服務(wù)器。

其他行為變化

Bootstrap.applescript

在bootstrap.applescript中，最大的變化是使用了最新的C2域名：

圖 6. 使用的C2域名

除了現(xiàn)有的域名外，IP地址也是該列表的一部分。雖然域名無法訪問了，但是仍然可以通過IP地址來訪問C2服務(wù)器。

圖 7. 使用的模塊

研究人員還發(fā)現(xiàn)惡意軟件添加了一個新的模塊“canary”來對Chrome Canary瀏覽器執(zhí)行XSS注入，canary是Chrome瀏覽器的一個實驗版本。

圖 8. 使用的模塊

與最新的版本相比，screen_sim被移除了。

Replicator.applescript

作為感染本地Xcode項目的第一步，惡意軟件修改了注入的build節(jié)點，將build規(guī)則的ID從硬編碼的ID變成了隨機生成的ID，但是ID的最后6個字符仍然是硬編碼的AAC43A。在最新的版本中，硬編碼的后綴修改成了6D902C。

圖 9. 修改的后綴

我這整理了網(wǎng)絡(luò)安全的學(xué)習(xí)資料！！！

關(guān)注私我獲取資料

總結(jié)

以上是生活随笔為你收集整理的什么？还有可以攻击telegram和其他APP的恶意软件的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。