Nieuwe dreiging die doelgericht Mac-gebruikers bespioneert

Gepubliceerd op 20 juli 2022 om 15:00

Onderzoekers hebben een voorheen onbekende macOS-backdoor ontdekt die gebruikers van gecompromitteerde Macs bespioneert en uitsluitend gebruik maakt van publieke cloudopslagdiensten om heen en weer te communiceren met zijn operators. De mogelijkheden van de malware, door ESET CloudMensis genoemd, laten duidelijk zien dat het de bedoeling van de operators is om informatie te verzamelen van de Macs van de slachtoffers. De malware kan namelijk onder meer documenten en toetsaanslagen exfiltreren, e-mailberichten en bijlagen te inventariseren, bestanden van verwijderbare opslag te noteren en schermopnames te maken.

Malware CloudMensis

CloudMensis is een dreiging voor Mac-gebruikers, maar de zeer beperkte verspreiding ervan suggereert dat het wordt gebruikt als onderdeel van een gerichte operatie. Op basis van wat de onderzoekers hebben gezien, zetten operators van deze malware-familie CloudMensis in op specifieke doelwitten die voor hen van belang zijn. Het gebruik van kwetsbaarheden om macOS-mitigaties te omzeilen toont aan dat de malwarebeheerders actief proberen om het succes van hun spionageoperaties te maximaliseren. Tegelijkertijd werden tijdens ons onderzoek geen niet-openbaar gemaakte kwetsbaarheden (zero days) gevonden die door deze groep werden gebruikt. Het is dus aan te raden om een up-to-date Mac te gebruiken om in ieder geval de omzeilingen van de kwetsbaarheden te voorkomen.

"We weten nog steeds niet hoe CloudMensis in eerste instantie wordt verspreid en wie de doelwitten zijn. De algemene kwaliteit van de code en het gebrek aan verberging laat zien dat de auteurs misschien niet erg bekend zijn met Mac-ontwikkeling en niet zo geavanceerd zijn. Desalniettemin zijn er veel middelen gestoken om van CloudMensis een krachtig spionagetool en een dreiging voor potentiële doelwitten te maken," verklaart onderzoeker Marc-Etienne Léveillé, die CloudMensis analyseerde.

Eerstefasemalware en tweedefasemalware

Zodra CloudMensis de mogelijkheid tot code-uitvoering en administratieve privileges van de geïnfecteerde Mac heeft verkregen, voert het een eerstefasemalware uit die een tweedefasemalware met meer mogelijkheden ophaalt van een cloudopslagdienst. Deze tweede fase is een veel grotere component, volgestopt met een aantal functies om informatie te verzamelen van de gecompromitteerde Mac. De bedoeling van de aanvallers is hier om documenten, schermafbeeldingen, e-mailbijlagen en andere gevoelige gegevens te exfiltreren. In totaal zijn er momenteel 39 commando's beschikbaar.

Schets van de werkwijze van CloudMensis bij het misbruik van cloud-opslagdiensten

Ondersteunt drie verschillende clouddiensten

CloudMensis gebruikt cloud-opslag zowel voor het ontvangen van opdrachten van zijn operators als voor het exfiltreren van bestanden. Het ondersteunt drie verschillende diensten: pCloud, Yandex Disk en Dropbox. De configuratie in het geanalyseerde voorbeeld bevat authenticatietokens voor pCloud en Yandex Disk. Metadata van de gebruikte cloudopslagdiensten onthullen interessante details over de operatie, bijvoorbeeld dat het vanaf 4 februari 2022 begon met het verzenden van commando's naar de bots.

Apple heeft onlangs de aanwezigheid erkend van spyware die zich richt op gebruikers van zijn producten en heeft Lockdown Mode aangekondigd voor op iOS 16, iPadOS 16, and macOS Ventura. In deze modus worden functies uitgeschakeld die vaak worden misbruikt om code te laten uitvoeren en malware te implementeren.

I See What You Did There
PDF – 966,6 KB 184 downloads

Meer rapporten? Kijk dan hier »

Bron: eset.nl, welivesecurity.com

Meer info over malware 

Bekijk alle vormen en begrippen

Meer malware nieuws 

Excel kan malware binnenlaten

Een functie in Excel kan er voor zorgen dat malware via een toegestuurd Excel-bestand wordt binnengehaald. Microsoft is niet van plan een patch uit te brengen omdat de functie omzeild kan worden.

Lees meer »

Nieuwe Malware 'Mirai-variant' besmet IoT-apparaten

Onderzoekers hebben een nieuwe variant van de beruchte Mirai-malware ontdekt die dertien verschillende exploits gebruikt om Internet of Things-apparaten (IoT) te infecteren. De exploits maken misbruik van bekende kwetsbaarheden in digitale videorecorders, routers en andere apparaten.

Lees meer »

47.000 computers besmet met Emotet Malware

Antispam organisatie Spamhaus heeft 47.000 computers ontdekt die met de Emotet malware besmet zijn. Emotet bestaat al sinds 2014 en was oorspronkelijk malware voor het stelen van bankgegevens. Inmiddels is het een "modulaire malwarefamilie" die allerlei aanvullende malware op systemen kan installeren.

Lees meer »

Ernstige kwetsbaarheid gevonden in Google Chrome

Afgelopen week bracht Google een update uit voor de Chrome-browser voor Windows, Mac, Android en ChromeOS. Nu laat Google weten dat de update bedoeld was om een ernstig lek te dichten. Met behulp van de bug zouden hackers een cyberaanval uit kunnen voeren, door malware te installeren op pc’s. Google raadt aan de update zo snel mogelijk door te voeren.

Lees meer »