English | Français | Deutsche | Español | Meer talen
Onderzoekers hebben een voorheen onbekende macOS-backdoor ontdekt die gebruikers van gecompromitteerde Macs bespioneert en uitsluitend gebruik maakt van publieke cloudopslagdiensten om heen en weer te communiceren met zijn operators. De mogelijkheden van de malware, door ESET CloudMensis genoemd, laten duidelijk zien dat het de bedoeling van de operators is om informatie te verzamelen van de Macs van de slachtoffers. De malware kan namelijk onder meer documenten en toetsaanslagen exfiltreren, e-mailberichten en bijlagen te inventariseren, bestanden van verwijderbare opslag te noteren en schermopnames te maken.
Malware CloudMensis
CloudMensis is een dreiging voor Mac-gebruikers, maar de zeer beperkte verspreiding ervan suggereert dat het wordt gebruikt als onderdeel van een gerichte operatie. Op basis van wat de onderzoekers hebben gezien, zetten operators van deze malware-familie CloudMensis in op specifieke doelwitten die voor hen van belang zijn. Het gebruik van kwetsbaarheden om macOS-mitigaties te omzeilen toont aan dat de malwarebeheerders actief proberen om het succes van hun spionageoperaties te maximaliseren. Tegelijkertijd werden tijdens ons onderzoek geen niet-openbaar gemaakte kwetsbaarheden (zero days) gevonden die door deze groep werden gebruikt. Het is dus aan te raden om een up-to-date Mac te gebruiken om in ieder geval de omzeilingen van de kwetsbaarheden te voorkomen.
"We weten nog steeds niet hoe CloudMensis in eerste instantie wordt verspreid en wie de doelwitten zijn. De algemene kwaliteit van de code en het gebrek aan verberging laat zien dat de auteurs misschien niet erg bekend zijn met Mac-ontwikkeling en niet zo geavanceerd zijn. Desalniettemin zijn er veel middelen gestoken om van CloudMensis een krachtig spionagetool en een dreiging voor potentiële doelwitten te maken," verklaart onderzoeker Marc-Etienne Léveillé, die CloudMensis analyseerde.
Eerstefasemalware en tweedefasemalware
Zodra CloudMensis de mogelijkheid tot code-uitvoering en administratieve privileges van de geïnfecteerde Mac heeft verkregen, voert het een eerstefasemalware uit die een tweedefasemalware met meer mogelijkheden ophaalt van een cloudopslagdienst. Deze tweede fase is een veel grotere component, volgestopt met een aantal functies om informatie te verzamelen van de gecompromitteerde Mac. De bedoeling van de aanvallers is hier om documenten, schermafbeeldingen, e-mailbijlagen en andere gevoelige gegevens te exfiltreren. In totaal zijn er momenteel 39 commando's beschikbaar.
Schets van de werkwijze van CloudMensis bij het misbruik van cloud-opslagdiensten
Ondersteunt drie verschillende clouddiensten
CloudMensis gebruikt cloud-opslag zowel voor het ontvangen van opdrachten van zijn operators als voor het exfiltreren van bestanden. Het ondersteunt drie verschillende diensten: pCloud, Yandex Disk en Dropbox. De configuratie in het geanalyseerde voorbeeld bevat authenticatietokens voor pCloud en Yandex Disk. Metadata van de gebruikte cloudopslagdiensten onthullen interessante details over de operatie, bijvoorbeeld dat het vanaf 4 februari 2022 begon met het verzenden van commando's naar de bots.
Apple heeft onlangs de aanwezigheid erkend van spyware die zich richt op gebruikers van zijn producten en heeft Lockdown Mode aangekondigd voor op iOS 16, iPadOS 16, and macOS Ventura. In deze modus worden functies uitgeschakeld die vaak worden misbruikt om code te laten uitvoeren en malware te implementeren.
Meer rapporten? Kijk dan hier »
Bron: eset.nl, welivesecurity.com
Malware gevonden op laptops die door de overheid (UK) zijn uitgegeven
》Choose your language
De meest gebruikte malware en kwetsbaarheden aanvallen
'Trickbot'- en 'Emotet'-trojans zijn in oktober nog steeds de top twee van meest voorkomende malware. De trojans zijn verantwoordelijk voor de sterke toename van ransomware aanvallen op ziekenhuizen en zorgverleners wereldwijd.
“Hack tools in je broekzak, het kan. Alles wat je nodig hebt is internet en ’T-RAT’”
Beveiligingsonderzoekers hebben een nieuwe trojan voor externe toegang (Remote Access Trojan of RAT) ontdekt waarvoor reclame wordt gemaakt op een Russisch sprekende ondergronds hack forum.
'Malware 'GravityRAT' spyware nu ook te gebruiken voor aanval op Android en MacOS'
De beruchte malware 'GravityRAT' spyware wordt op sluwe wijze multiplatform, naast Windows-besturingssystemen, richt de tool zich nu ook op Android en MacOS.
"Emotet malware is een van de gevaarlijkste bedreigingen waar we momenteel mee te maken hebben"
"Emotet malware is een van de gevaarlijkste bedreigingen waar we momenteel mee te maken hebben". Met deze waarschuwing komt het 'Cybersecurity and Infrastructure Security Agency (CISA)', onderdeel van het Amerikaanse ministerie van Binnenlandse Veiligheid (DHS), op de proppen. Het aantal cyberaanvallen op lokale en regionale overheidsdiensten is de afgelopen maanden explosief gestegen.
Messaging apps 'Telegram' en 'Threema' als lokmiddel ingezet
Onderzoekers van 'ESET' hebben een nieuwe versie van Android-spyware geanalyseerd die wordt gebruikt door 'APT-C-23', een criminele groepering die sinds ten minste 2017 actief is en die voornamelijk gericht is op het Midden-Oosten.