Malwarebytes 实验室成员于上周发现了一种新的Mac恶意软件,出于恶意目的这种软件结合了两种不同的开源工具——EmPyre后门和XMRig矿工。

恶意软件的传播途径是名为Adobe Zii的应用程序。Adobe Zii是一种帮助各种Adobe应用程序盗版复制的软件,但被恶意软件利用的Adobe Zii实际上并不是真正的Adobe Zii。

从图片中可以看出,左边Adobe Zii软件使用的是Adobe Creative Cloud徽标,(标识是正版软件的重要标志,窃取者不会遗漏这个部分)但恶意软件安装程序使用通用的是Automator applet 图标。

行为

使用Automator打开假的Adobe Zii应用程序可以发现软件的本质,因为它只是运行一个shell脚本:

这个脚本用于下载并执行Python脚本,然后下载并运行一个名为sample.app的应用程序。

sample.app很简单。它看起来只是Adobe Zii的一个版本,其作用极可能是使恶意软件看起来实际上是“合法的”。(这并不意味着软件盗版是合法的,当然,而是意味着恶意软件试图看起来像是在做用户认为它打算做的事情。)

那么Python脚本呢?虽然被混淆了,但很容易被反混淆,使得研究人员揭示了以下脚本:

(欲看脚本详细信息请戳https://blog.malwarebytes.com/threat-analysis/2018/12/mac-malware-combines-empyre-backdoor-and-xmrig-miner/)

该脚本的首要任务是寻找Little Snitch,Little Snitch是一个基于主机的应用防火墙为Mac系统,Little Snitch 通过Apple提供的标准应用程序编程接口(API)注册内核扩展来控制网络流量,旨在通过限制出站流量来保护隐私。所以如果Little Snitch存在,则恶意软件会被禁止。

此脚本打开与EmPyre后端的连接,该后端能够将任意命令推送到受感染的Mac。后门打开后,它会收到一个命令,将以下脚本下载到/private/tmp/uploadminer.sh并执行它:

此脚本下载并安装恶意软件的其他组件。创建了一个名为com.proxy.initialize.plist的启动代理,通过运行与前面提到的完全相同的混淆Python脚本来持续打开后门。

该脚本还将XMRig cryptominer和配置文件下载到/ Users / Shared /文件夹中,并设置名为com.apple.rig.plist的启动代理,以使XMRig进程在该配置处于活动状态时运行。(“com.apple”名称是一个直接的危险信号,这是发现此恶意软件的根本原因)

有趣的是,该脚本中有代码用于下载和安装与mitmproxy软件相关的根证书,该软件能够拦截所有网络流量,包括(借助证书)加密的“https”流量。但是,该代码已被注释掉,表明它没有激活。

从表面上看,这种恶意软件似乎是无害的。由于一个进程占用了所有的CPU/GPU,Cryptominers通常只会导致计算机速度变慢。

但是,这不仅仅是一个密码系统。需要注意的是,cryptominer是通过后门发出的命令安装的,并且很可能已经有过去后门发送给受感染的Mac的其他任意命令。无法确切知道此恶意软件可能对受感染系统造成的损害。虽然研究者只观察到采矿行为,但并不意味着它从未做过其他事情。

启示

Malwarebytes检测到这个恶意软件为OSX.DarthMiner。如果用户设备被感染,虽然不能明确知道恶意软件的所有活动痕迹,但用户的文件或密码很有可能已被成功窃取。这为广大用户上了重要的一课:远离与盗版相关的事物可以避免许多风险,其风险成本或许远高于目标软件的正版价格。

声明:本文来自黑客视界,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。