English | Français | Deutsche | Español | Meer talen
Onderzoekers hebben een voorheen onbekende macOS-backdoor ontdekt die gebruikers van gecompromitteerde Macs bespioneert en uitsluitend gebruik maakt van publieke cloudopslagdiensten om heen en weer te communiceren met zijn operators. De mogelijkheden van de malware, door ESET CloudMensis genoemd, laten duidelijk zien dat het de bedoeling van de operators is om informatie te verzamelen van de Macs van de slachtoffers. De malware kan namelijk onder meer documenten en toetsaanslagen exfiltreren, e-mailberichten en bijlagen te inventariseren, bestanden van verwijderbare opslag te noteren en schermopnames te maken.
Malware CloudMensis
CloudMensis is een dreiging voor Mac-gebruikers, maar de zeer beperkte verspreiding ervan suggereert dat het wordt gebruikt als onderdeel van een gerichte operatie. Op basis van wat de onderzoekers hebben gezien, zetten operators van deze malware-familie CloudMensis in op specifieke doelwitten die voor hen van belang zijn. Het gebruik van kwetsbaarheden om macOS-mitigaties te omzeilen toont aan dat de malwarebeheerders actief proberen om het succes van hun spionageoperaties te maximaliseren. Tegelijkertijd werden tijdens ons onderzoek geen niet-openbaar gemaakte kwetsbaarheden (zero days) gevonden die door deze groep werden gebruikt. Het is dus aan te raden om een up-to-date Mac te gebruiken om in ieder geval de omzeilingen van de kwetsbaarheden te voorkomen.
"We weten nog steeds niet hoe CloudMensis in eerste instantie wordt verspreid en wie de doelwitten zijn. De algemene kwaliteit van de code en het gebrek aan verberging laat zien dat de auteurs misschien niet erg bekend zijn met Mac-ontwikkeling en niet zo geavanceerd zijn. Desalniettemin zijn er veel middelen gestoken om van CloudMensis een krachtig spionagetool en een dreiging voor potentiële doelwitten te maken," verklaart onderzoeker Marc-Etienne Léveillé, die CloudMensis analyseerde.
Eerstefasemalware en tweedefasemalware
Zodra CloudMensis de mogelijkheid tot code-uitvoering en administratieve privileges van de geïnfecteerde Mac heeft verkregen, voert het een eerstefasemalware uit die een tweedefasemalware met meer mogelijkheden ophaalt van een cloudopslagdienst. Deze tweede fase is een veel grotere component, volgestopt met een aantal functies om informatie te verzamelen van de gecompromitteerde Mac. De bedoeling van de aanvallers is hier om documenten, schermafbeeldingen, e-mailbijlagen en andere gevoelige gegevens te exfiltreren. In totaal zijn er momenteel 39 commando's beschikbaar.
Schets van de werkwijze van CloudMensis bij het misbruik van cloud-opslagdiensten
Ondersteunt drie verschillende clouddiensten
CloudMensis gebruikt cloud-opslag zowel voor het ontvangen van opdrachten van zijn operators als voor het exfiltreren van bestanden. Het ondersteunt drie verschillende diensten: pCloud, Yandex Disk en Dropbox. De configuratie in het geanalyseerde voorbeeld bevat authenticatietokens voor pCloud en Yandex Disk. Metadata van de gebruikte cloudopslagdiensten onthullen interessante details over de operatie, bijvoorbeeld dat het vanaf 4 februari 2022 begon met het verzenden van commando's naar de bots.
Apple heeft onlangs de aanwezigheid erkend van spyware die zich richt op gebruikers van zijn producten en heeft Lockdown Mode aangekondigd voor op iOS 16, iPadOS 16, and macOS Ventura. In deze modus worden functies uitgeschakeld die vaak worden misbruikt om code te laten uitvoeren en malware te implementeren.
Meer rapporten? Kijk dan hier »
Bron: eset.nl, welivesecurity.com
LinkedIn gebruikers doelwit van nep vacatures met malware
Cybercriminelen gebruiken het zakelijke sociale netwerk LinkedIn om gebruikers met malware te infecteren, zo waarschuwt security bedrijf Proofpoint. De aanvallers proberen via nep profielen contact met het slachtoffer te maken en doen zich voor als een uitzendbureau met een interessante vacature.
Cybercriminelen verspreiden malware via Office-document
Momentopname van IE Download Manager waarin de gebruiker wordt gevraagd het uitvoerbare bestand uit te voeren of op te slaan
Cybercriminelen proberen via “Nep app PostNL” je geld te stelen
Cybercriminelen hebben een app gemaakt die sprekend lijkt op die van PostNL. Deze app verspreid zich momenteel via sms en social media. In werkelijkheid is het een Android bank malware die gegevens voor mobiel bankieren probeert te stelen. Dat laat anti-virusbedrijf ESET weten. De malware kan, nadat de app op een toestel is geïnstalleerd, ook wachtwoorden en ingevulde data van andere apps stelen, waaronder Amazon, Ebay en PayPal. Na installatie proberen oplichters de wachtwoorden van internetbankieren in handen te krijgen om zo geld over te maken. Zeker 600 Nederlanders hebben inmiddels een link naar de app geopend, waarschuwt beveiliger Eset.
Playstation 4 gamers opgepast
Steeds meer meldingen van gamers met een PlayStation 4 die klaagt over berichten die ertoe leiden dat hun console crasht. In het ergste geval moet het toestel weer naar de fabrieksinstellingen worden teruggezet. Het probleem zit hem in het gebruik van bepaalde karakters in de berichten die gamers naar elkaar kunnen versturen. Consoles kunnen al crashen als de berichten ongelezen in de inbox zitten, aldus Slashgear.
Nep PostNL mail bevat Malware, let dus op!
In een e-mail over een ontvangen pakket van PostNL zit malware verstopt. Klik niet op de 'track & trace' link in dit bericht.
Pas op voor malware via Facebook Messenger
We hebben hier al in eerdere berichten aandacht voor gehad. Maar helaas is het een succesvolle manier om je systeem te hacken.