PamStealer Malware për macOS Përdor Shkëmbimin e Çelësit të Drejtpërdrejtë për të Shmangur Analizën Statike
Studiuesit e sigurisë kibernetike në Jamf Threat Labs kanë identifikuar një evolucion të rëndësishëm në familjen e malware-it PamStealer që synon sistemet macOS. Varianti më i ri prezanton një mekanizëm të sofistikuar shpërndarjeje dhe deshifrimi që ndryshon thelbësisht mënyrën se si analistët mund të studiojnë kërcënimin. Më parë, analiza statike e ngarkesës ishte e mundur sepse materiali i çelësit ishte i integruar drejtpërdrejt në skriptet keqdashëse. Në këtë version të ri, ngarkesa kryesore nuk mund të rikthehet apo deshifrohet pa bashkëpunimin aktiv të serverit komandë-dhe-kontroll (C2) të sulmuesit.
Zinxhiri i infeksionit fillon me një joshje mashtruese. Viktimat drejtohen në një faqe interneti të rreme të quajtur 'wavel.app', e cila reklamon një shërbim inekzistent të portofolit të kriptomonedhave të quajtur Wavel. Kjo paraqet një ndryshim nga fushatat e mëparshme që imitonin menaxherët legjitimë të clipboard-it si Maccy, Scoppr dhe Nancy Clipboard. Kur përdoruesit klikojnë butonin e shkarkimit në këtë sajt mashtrues, ata marrin një skedar imazhi disku të quajtur Wavel.dmg. Brenda kësaj arkive gjendet një skedar i përpiluar AppleScript i projektuar për t'i mashtruar përdoruesit që të ekzekutojnë kodin.
Hapja e skedarit nis redaktorin e integruar të Apple-it, Script Editor, duke shfaqur udhëzime që e nxisin përdoruesin të shkaktojë ekzekutimin. Ky hap nis një 'dropper' JavaScript për Automatizim (JXA). Megjithatë, ndryshe nga përsëritjet e mëparshme ku skripti JXA kryente vetë detyra të ndërlikuara deshifrimi, versioni aktual e përdor JXA-në thjesht si bartës. Skripti dekodon një varg base64 dhe e dërgon rezultatin në /bin/zsh. Procesi JXA pastaj mbyllet menjëherë, duke lënë një 'dropper' zsh në funksionim në sfond për të vazhduar infeksionin.
Ky skript zsh orkestron risinë teknike kryesore: deshifrimin e ngarkesës në kohë reale. Ai shkarkon një mjet të ndërtuar posaçërisht të quajtur 'pkgunpack' nga një server i vendosur në wavel.apple03cloudstore[.]com. Pastaj skripti kryen një shkëmbim çelësi X25519 me serverin e sulmuesit. Për shkak se Çelësi i Kriptimit të të Dhënave (DEK) i nevojshëm për të zbërthyer paketën e ngarkesës gjenerohet gjatë këtij shkëmbimi të drejtpërdrejtë dhe mbahet nga serveri, ngarkesa e kriptuar mbetet e palexueshme jashtë linje. Për më tepër, çdo ekzekutim gjeneron një çift çelësash të përkohshëm, që do të thotë se çdo çelës i kapur nuk mund të ripërdoret për të deshifruar ngarkesat e ardhshme. Ky dizajn e bën ngarkesën e kriptuar praktikisht të padobishme për analizë statike pa akses në një sesion të drejtpërdrejtë C2.
Përtej deshifrimit, malware-i krijon mekanizma të fuqishëm persistencë për të siguruar që të mbijetojë pas rinisjeve dhe kontrolleve të sistemit. Ai instalon katër metoda të tepërta: një LaunchAgent, një grep shell-i të shtuar në ~/.zshrc dhe një skript riparimi të ruajtur në ~/Library/Application Support/System/.githooks/. Konfigurimi i grepave Git modifikohet në mënyrë që çdo veprim git checkout ose commit të aktivizojë në heshtje skriptin e riparimit, duke rikthyer ngarkesën nëse ajo hiqet. Përveç kësaj, malware-i shtyp njoftimet e macOS që përndryshe do të paralajmëronin përdoruesit për elementë të rinj të hyrjes në sfond.
Faza përfundimtare përfshin një komponent vjedhës të shkruar në Swift, duke shënuar një largim nga implementimi në Rust i parë te paraardhësit. Ky komponent kap fjalëkalimet e sistemit përmes një dritareje të rreme gabimi që vërteton hyrjen duke përdorur një qasje të bazuar në PAM. Ai numëron artikujt e keychain-it, vjedh kredencialet nga një gamë e gjerë shfletuesish me bazë Chromium dhe Firefox, përfshirë Google Chrome, Microsoft Edge, Mozilla Firefox, Brave, Vivalv, Opera, Arc, Zen, Waterfox, LibreWolf, Yandex Browser dhe Cốc Cốc. Gjithashtu, ai merr gjurmët e sistemit, mbledh metadata, grumbullon skedarë të përqendruar te përdoruesi si .zsh_history dhe .gitconfig, dhe liston proceset në funksionim.
Thijs Xhaflaire, studiuesi i sigurisë që analizoi këto artefakte, vuri në dukje se përfshirja e shfletuesve më pak të zakonshëm si Arc dhe Zen zgjeron listën e objektivave përtej vjedhësve të zakonshëm komercialë. Ai theksoi se ky variant pasqyron një investim të qëllimshëm në infrastrukturën e shpërndarjes, duke zhvendosur kontrollin operacional te operatori i serverit duke e lidhur deshifrimin me disponueshmërinë e serverit. Për pronarët e faqeve të internetit dhe ekipet e TI-së, kjo nxjerr në pah rëndësinë e monitorimit të lidhjeve të pazakonta të rrjetit me domene të panjohura dhe sigurimin që përditësimet e softuerit dhe arnimet e sigurisë të aplikohen menjëherë për të zbutur kërcënime të tilla të avancuara.
AEU Hosting ofron hostim të menaxhuar WordPress të siguruar nga fillimi në fund, duke ndihmuar pronarët e faqeve të ruajnë një mjedis të sigurt kundër kërcënimeve të ndryshme dixhitale duke e mbajtur infrastrukturën e tyre të përditësuar dhe të mbrojtur.