حمله لازاروس به کاربران سیستم‌عامل مک

به گزارش کارگروه حملات سایبری سایبربان؛ پژوهشگران شرکت امنیت سایبری ملوربایت (Malwarebyes) به تازگی ادعا کرده‌اند موفق به شناسایی نوع جدیدی از تروجان دسترسی از راه دور داکلز (Dacls RAT) شده‌اند. داکلز به طور ویژه برای هدف قرار دادند سیستم‌عامل مک (macOS) توسعه پیدا کرده است.

محققان معتقدند هکرهای لازاروس کره شمالی (Lazarus)، مسئول انتشار داکلز هستند؛ زیرا بدافزاری مشابه را در گذشته برای آلوده سازی سیستم‌عامل‌های ویندوز و لینوکس به کار گرفته بودند. نسخه جدید داکلز تنها کاربران مک را هدف قرار می‌دهد. این بدافزار می‌تواند در بستر برنامه تأیید هویت دو مرحله‌ای (2FA) پنهان گردد که به منظور تولید کدهای دسترسی موقت به کار گرفته می‌شوند.

برنامه یاد شده «MinaOTP» نام داشته، ویژگی‌های مختلفی مانند اسکن ورم‌ها (worm)، مدیریت فایل‌ها، اجرای دستورات و ترافیک پروکسی را بر عهده دارد. چینی‌ها بیشتر از این برنامه بهره می‌گیرند. در تاریخ 8 آوریل 2020، نمونه‌ای آلوده از این برنامه با نام «TinkaOPT» در وبگاه

هنگ‌کنگی «VirusTotal» بارگذاری شد. در آن زمان هیچ کد مخربی در برنامه شناسایی نشد؛ اما مدتی بعد مشخص شد که یک حاوی یک فایل آلوده است که تنها 23 عدد از 59 آنتی‌ویروس توانایی شناسایی آن را دارند.

اصلی‌ترین عملکرد کد مخرب بدافزار یاد شده، فراهم کردن دسترسی کامل به سیستم آلوده برای هکر است. پس از آلوده شدن دستگاه، مهاجمان به راحتی می‌توانند برنامه‌های مخرب خود را بارگذاری کنند. همچنین توانایی آپلود، دانلود، بازنویسی، خواندن و نوشتن فایل را به دست می‌آورند.

کدهای آلوده پس از بارگذاری مجدد سیستم به فایل «plist» اضافه می‌شوند. بسترهای « LaunchAgents » و « LaunchDaemons » از این فایل برای اجرای برنامه‌ها در زمان راه‌اندازی سیستم‌عامل بهره می‌گیرند.

محققان متوجه شدند که نام فایل‌های خصوصی و اعتبارنامه‌ها به ترتیب « k_3872.Cls » و « c_2910.cls » هستند که مشابه نمونه‌های ویندوزی و لینوکسی داکلز است.