Los sofisticados ladrones de información de MacOS superan la detección integrada de Apple

Los ladrones de información son cada vez más sofisticados dirigido a macOS con la capacidad de eludir la protección contra malware incorporada de Apple a medida que los atacantes se vuelven más hábiles para descifrar motores de detección de firmas estáticas como XProtect, propiedad de la plataforma.

KeySteal, Atomic Infostealer y CherryPie son tres ladrones activos que actualmente están pasando por varios motores de detección, y las variantes de los dos primeros actualmente pasan por alto el XProtect de macOS, revelaron los investigadores de SentinelOne. en una publicación de blog esta semana. XProtect es la tecnología antivirus (AV) integrada de macOS que analiza los archivos y aplicaciones descargados en busca de firmas de malware conocidas y elimina los archivos ofensivos.

De hecho, hay un aumento en el malware que roba información. Apuntando a la plataforma macOS Según SentinelOne, esta tendencia comenzó a principios del año pasado y ya está ganando impulso en 2024, a medida que los atacantes evolucionen tan rápidamente como los defensores para evadir nuevos métodos de detección.

«Las actualizaciones recientes de la base de datos de firmas XProtect de macOS indican que Apple está al tanto del problema, pero a principios de 2024, varias familias de ladrones ya han eludido las firmas conocidas», escribió en la publicación el investigador de amenazas de SentinelOne, Phil Stokes.

Los ladrones escapan de XProtect

Los tres robos descritos por SentinelOne han sido identificados previamente, pero están evolucionando con nuevas variantes que demuestran capacidades de evasión sofisticadas.

KeySteal, observado por primera vez en 2021 por Tendencia Micro, ha evolucionado significativamente desde que se descubrió por primera vez e incluso desde que Apple añadió una firma a XProtect para detectar el malware hace casi un año. En este punto, el malware ha cambiado tanto que XProtect ya no puede detectar las versiones actuales.

Inicialmente, KeySteal se lanzó en formato.pkg con una utilidad macOS integrada llamada “ReSignTool”, una aplicación legítima de código abierto para firmar y agrupar aplicaciones para su distribución en dispositivos iOS.

Las últimas versiones de KeySteal ya no utilizan la herramienta ReSign y en su lugar aparecen en binarios Mach-O de arquitectura múltiple con nombres como «UnixProject» y «ChatGPT». Sin embargo, actualmente no está claro cómo se distribuye el ladrón de información, dijo Stokes. Los autores de malware ahora también han modificado el código para robar información del llavero de macOS y colocar componentes de persistencia en diferentes ubicaciones del sistema.

Un factor que sigue siendo consistente entre las iteraciones anteriores y actuales de KeySteal es el comando y control codificado (C2), que podría ayudar a dar a los cazadores de amenazas y detectores estáticos una pista sobre cómo encontrarlo, agregó.

ladrón de átomos También ha evolucionado desde su descubrimiento el año pasado, y SentinelOne actualmente observa varias iteraciones en la naturaleza. Esto sugiere “cadenas de desarrollo completamente diferentes en lugar de actualizar una versión central”, escribió Stokes.

Si bien XProtect adoptó anteriormente una versión Go de Atomic Stealer, SentinelOne ha observado nuevas variantes escritas en C++ que el motor de detección no puede detectar, lo que también muestra puntuaciones de detección bajas en VirusTotal.

La variante incluye una lógica que evita que las víctimas, los analistas o los entornos de pruebas de malware ejecuten el terminal al mismo tiempo que el ladrón y también comprueba si el malware se está ejecutando en una máquina virtual (VM). Además, los nuevos ejemplos utilizan AppleScript codificado en texto plano en lugar de ofuscar el código, lo que ya supone una desviación de las versiones lanzadas a principios de este mes.

Con nombres como “CrackInstaller” y “Cozy World Launcher” y su formato de archivo .dmg, los investigadores creen que la distribución de variantes activas de Atomic Stealer probablemente se produzca a través de torrents o plataformas de redes sociales orientadas a juegos.

CherryPie fue rechazada por XProtect

A pesar de las actualizaciones recientes, un tercer ladrón llamado CherryPie (también conocido como Gary Stealer) todavía está bloqueado por macOS XProtect, pero otros motores de detección estática no funcionan tan bien, encontraron los investigadores. El mismo malware también era mío.identificado como JaskaGo de AT&T Labs en diciembre.

Un ejemplo reciente de CherryPie, un ladrón multiplataforma de Windows/macOS escrito en Go, anteriormente no había sido detectado en VirusTotal, dijo Stokes.

Aunque el ejemplo contiene una extensa lógica de detección de máquinas virtuales y antianálisis, sus autores parecen estar ocultando el malware a plena vista al «incrustar cadenas obvias dentro del malware que indican tanto su propósito (ladrón) como su intención (malicioso)». » el escribio.

Algunas versiones de CherryPie observadas por los investigadores también utilizan el proyecto legítimo Wails de código abierto para empaquetar su código malicioso en un paquete de aplicación, añadió Stokes.

Protege macOS de los ladrones

Aunque macOS históricamente se ha considerado una plataforma tecnológica relativamente segura debido a su naturaleza patentada, los ataques concertados de los atacantes han tenido más éxito en los últimos años. Grupos de amenazas organizados, algunos en particular Corea del Norte – han introducido nuevo malware construido específicamente para la plataforma, con ladrones Esta es una forma particularmente popular para que los atacantes pirateen macOS.

Este ataque continuo a la plataforma significa Defensor de macOS «Tengo que permanecer alerta y Apple también tiene que estar al tanto de las amenazas para asegurarse de que XProtect pueda bloquearlas», dijo Stokes.

«La continua proliferación y adaptación de los ladrones de información de macOS… subraya los desafíos actuales que enfrentan los usuarios empresariales de macOS», escribió. «A pesar de los intensos esfuerzos de Apple para actualizar su base de datos de firmas XProtect, se siguen evadiendo estas cepas de malware que evolucionan rápidamente».